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STAATSCOURANT 

Officiële uitgave van het Koninkrijk der Nederlanden sinds 1814. 


Regeling van de Minister van Volksgezondheid, Welzijn en Sport van 
10 november 2015, kenmerk 865607-143589-MC, houdende wijziging van de 
Regeling zorgverzekering in verband met het aanleveren van de 
zorgvraagzwaarteindicator aan zorgverzekeraars (Regeling aanlevering 
zorgvraagzwaarte cGGZ) 


De Minister van Volksgezondheid, Welzijn en Sport, 

Gelet op de artikelen 87 en 88 van de Zorgverzekeringswet; 

Gezien de Regeling zorgvraagzwaarte cGGZ (Stort.2013, nr. 30961); 

Gezien de Regeling verlenging tijdelijke opschorting zorgvraagzwaarte cGGZ (Stcrt. 2015, 6779); 

Overwegende dat het wenselijk is persoonsgegevens, waaronder medische gegevens, met betrekking 
tot de levering van geestelijke gezondheidszorg te verwerken ten behoeve van formele en materiële 
controle en kwaliteit van zorg voor zorgverzekeraars en zorgaanbieders en ten behoeve van de 
uitvoering van de risicoverevening door het Zorginstituut Nederland; 

Overwegende dat GGZ Nederland, de Landelijke Vereniging van Vrijgevestigde Psychologen en 
Psychotherapeuten (LVVP), de Nederlandse Vereniging voor Psychiatrie (NVvP), het Nederlands 
Instituut voor Psychologen (NIP), het Landelijk Platform GGZ, Zorgverzekeraars Nederland en de 
Nederlandse Zorgautoriteit een verwerking van het gegeven zorgvraagzwaarte kunnen realiseren die 
zo min mogelijk inbreuk maakt op de persoonlijke levenssfeer van de verzekerde; 

Gezien het advies van het College bescherming persoonsgegevens van 15 september 2015, kenmerk 
z2015-00360; 

Besluit: 

ARTIKEL I 

De Regeling zorgverzekering wordt als volgt gewijzigd: 

A 

In artikel 1, eerste lid, komt onderdeel cc. te luiden: 

cc. rapport zorgvraagzwaarte: algemeen aanvaard rapport over zorgvraagzwaarte; 


B 

Artikel 7.2 wordt als volgt gewijzigd: 

In artikel 7.2 vervallen het tweede, derde en vierde lid. 

Het nummer voor het eerste lid vervalt. 

C 

Na artikel 7.2 worden drie nieuwe artikelen ingevoegd, luidende: 

Artikel 7.2a (declareren via VECOZO B.V.) 

1. Dit artikel is van toepassing indien een zorgaanbieder de kosten van gespecialiseerde 
geestelijke gezondheidszorg door tussenkomst van VECOZO B.V. in rekening brengt bij een 
zorgverzekeraar. 

2. Mits vermeld in een declaratieregeling die van toepassing is voor een zorgaanbieder, bedoeld 
in het eerste lid, beschikt de zorgverzekeraar, met inachtneming van het bepaalde bij of 
krachtens dit artikel, over het gegeven zorgvraagzwaarte van de verzekerde voor de analyses 
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en controles als bedoeld in de artikelen 7.6 tot en met 7.9, met het oog op de uitvoering van 
formele en materiële controle ten behoeve van de in artikel 7.1, tweede lid, aangegeven doelen 
en voor zover dat noodzakelijk is voor de zorgverzekeraar om te voldoen aan zijn verplichting 
om gegevens te leveren aan het Zorginstituut ten behoeve van de uitvoering van de Zorgverze- 
keringswet. 

3. De zorgaanbieder, bedoeld in het eerste lid, verstrekt de gegevens die op grond van het bij of 
krachtens artikel 38 van de Wet marktordening gezondheidszorg bepaalde moeten worden 
verstrekt, aan de zorgverzekeraar door tussenkomst van VECOZO B.V. 

4. Het gegeven zorgvraagzwaarte, bedoeld in het tweede lid, wordt door VECOZO B.V. gemas¬ 
keerd alvorens VECOZO B.V. dat gemaskeerde gegeven, met de overige gegevens bedoeld in 
het derde lid, aan de zorgverzekeraar verstrekt. 

5. De zorgverzekeraar ontvangt de door de zorgaanbieder verstrekte gegevens, bedoeld in het 
derde lid, van VECOZO B.V., waarbij het gegeven zorgvraagzwaarte van de verzekerde is 
gemaskeerd. 

6. De zorgverzekeraar verstrekt gegevens bedoeld in het vijfde lid aan Vektis C.V. ten behoeve van 
het maken van analyses voor zorgaanbieders en zorgverzekeraars die noodzakelijk zijn voor de 
uitvoering van de zorgverzekering of de Zorgverzekeringswet en ten behoeve van het 
verrichten van controle of fraudeonderzoek, waarbij het gegeven zorgvraagzwaarte van de 
verzekerde is gemaskeerd. 

7. Vektis C.V. ontvangt de door de zorgaanbieder verstrekte gegevens, bedoeld in het derde lid, 
van VECOZO B.V., waarbij het gegeven zorgvraagzwaarte van de verzekerde niet is gemas¬ 
keerd. 

8. Vektis C.V. verstrekt op verzoek van een zorgverzekeraar aan die zorgverzekeraar het gegeven 
zorgvraagzwaarte indien en voor zover dat noodzakelijk is voor de zorgverzekeraar om te 
voldoen aan zijn verplichting om gegevens te leveren aan het Zorginstituut ten behoeve van de 
uitvoering van de Zorgverzekeringswet, nadat het gegeven zorgvraagzwaarte door Vektis C.V. 
is versleuteld. 

9. De zorgverzekeraar verstrekt op verzoek van het Zorginstituut aan deze het gegeven zorgvraag¬ 
zwaarte, zoals dat gegeven door Vektis C.V. is versleuteld, ten behoeve van de uitvoering van 
de Zorgverzekeringswet door het Zorginstituut. 

10. Vektis C.V. verstrekt op verzoek van het Zorginstituut aan deze de sleutel om het door Vektis 
C.V. versleutelde gegeven zorgvraagzwaarte te ontsleutelen ten behoeve van de uitvoering van 
de Zorgverzekeringswet door het Zorginstituut. 

Artikel 7.2b 

1. VECOZO B.V. en Vektis C.V. dragen zorg voor passende technische en organisatorische 
maatregelen om persoonsgegevens te beveiligen bij de verwerkingen, bedoeld in artikel 7.2a, 
tegen verlies of tegen enige vorm van onrechtmatige verwerking. 

2. De door Vektis C.V. aan zorgaanbieders en zorgverzekeraars te verstrekken analyses, bedoeld in 
artikel 7.2a, bevatten geen tot individuele verzekerden te herleiden zorgvraagzwaartegegevens. 

3. Voor VECOZO B.V. en Vektis C.V. gelden dezelfde wettelijke voorschriften inzake geheimhou¬ 
ding van de verwerkte gegevens, bedoeld in artikel 7.2a, als voor de zorgverzekeraar. 

4. Personen werkzaam bij of ten behoeve van VECOZO B.V. en Vektis C.V. voor wie niet reeds uit 
hoofde van ambt of beroep een geheimhoudingplicht geldt, zijn verplicht tot geheimhouding 
van de gegevens die zij op grond van artikel 7.2a verwerken, behoudens voor zover enig 
wettelijk voorschrift hen tot mededeling verplicht. 

5. De zorgverzekeraar beschikt niet over de sleutel om het versleutelde gegeven zorgvraag¬ 
zwaarte, bedoeld in artikel 7.2a te ontsleutelen. 

6. De zorgverzekeraar beschikt, met inachtneming van het bepaalde in de artikelen 7.5 tot en met 
7.11 inzake de uitvoering van materiële controle, over het gegeven zorgvraagzwaarte indien op 
grond van analyse op basis van geaggregeerde gegevens of naar aanleiding van een ander 
signaal er reden is voor het instellen van nadere formele of materiële controles, met dien 
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verstande dat indien en voor zover dat noodzakelijk is voor die controles, het gegeven 
zorgvraagzwaarte van de patiënt of de gegevens die noodzakelijk zijn voor het onderbouwen 
en afleiden van het gegeven zorgvraagzwaarte van de desbetreffende patiënt herleidbaar naar 
die individuele patiënt wordt, respectievelijk worden verwerkt onder verantwoordelijkheid van 
een medisch adviseur in opdracht van de zorgverzekeraar. 

7. De zorgautoriteit kan in een declaratieregeling, bedoeld in artikel 7.2a, tweede lid, en onder 
daarbij te stellen voorwaarden, voorschriften of beperkingen, bepalen: 

a. op welke wijze het gegeven zorgvraagzwaarte moet worden gemaskeerd en 

b. dat de verplichting tot verstrekken van het gegeven zorgvraagzwaarte bij uitzondering niet 
van toepassing is. 


Artikel 7.2c (declareren 'op papier'/ niet via VECOZO) 

1. Dit artikel is van toepassing indien de verzekerde of de zorgaanbieder namens de verzekerde 
de kosten van gespecialiseerde geestelijke gezondheidszorg zonder tussenkomst van VECOZO 
B.V. in rekening brengt bij diens zorgverzekeraar. 

2. De zorgverzekeraar beschikt, met inachtneming van het bepaalde bij of krachtens dit artikel, 
niet over het tot een individuele verzekerde te herleiden zorgvraagzwaartegegeven. 

3. De zorgaanbieder, bedoeld in het eerste lid, verstrekt de gegevens, die op grond van het bij of 
krachtens artikel 38 van de Wet marktordening gezondheidszorg bepaalde moeten worden 
verstrekt aan de verzekerde of namens een verzekerde aan diens zorgverzekeraar, zonder 
tussenkomst van VECOZO B.V. 

4. Het zesde en zevende lid van artikel 7.2b zijn van overeenkomstige toepassing. 


Artikel 7.3 wordt als volgt gewijzigd: 

1. In het eerste lid wordt na 'verplicht' ingevoegd: tenzij bij of krachtens deze regeling anders wordt 
bepaald; 

2. In het eerste lid komt de zinsnede 'artikel 7.2, eerste lid, onderdeel a tot en met g, en tweede lid' te 
luiden: artikel 7.2, onderdeel a tot en met g; 

3. In het tweede lid komt de zinsnede 'artikel 7.2, eerste lid, onderdeel i, en tweede lid' te luiden: artikel 
7.2, onderdeel i. 

E 


In het eerste lid van artikel 7.4 wordt de zinsnede 'de artikelen 7.2, derde lid en 7.5 tot en met 7.9' 
vervangen door: de artikelen 7.2a tot en met 7.2c en 7.5 tot en met 7.9. 

ARTIKEL II 


1. Artikel II van de Regeling verlenging tijdelijke opschorting zorgvraagzwaarte cGGZ vervalt. 

2. De zorgaanbieder is verplicht de zorgvraagzwaarteindicator, die wordt afgeleid uit brongegevens 
die de zorgaanbieder heeft geregistreerd met betrekking tot zorg waarop het vierde lid van artikel 
7.2 is toegepast in de jaren 2014 of 2015, aan de zorgverzekeraar te leveren op de wijze die de 
Nederlandse Zorgautoriteit in een regeling op grond van de Wet marktordening gezondheidszorg 
kan vaststellen. 

ARTIKEL III 


1. Het tweede lid van artikel 7.2 van de Regeling zorgverzekering, zoals dat artikel luidde voor de 
inwerkingtreding van deze regeling, blijft van toepassing op het gegeven zorgzwaarte van de 
verzekerde dat aan een zorgverzekeraar is verstrekt op basis van een declaratieregeling als 
bedoeld in dat lid. 

2. De leden 3 tot en met 5 van artikel 7.2a en artikel 7.2b zijn van overeenkomstige toepassing indien 
een zorgaanbieder abusievelijk via VECOZO het gegeven zorgvraagzwaarte aanlevert voordat dat 
gegeven verplicht op de bij artikel 7.2a bepaalde wijze moet worden aangeleverd. 
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ARTIKEL IV 



Deze regeling treedt in werking op 1 januari 2016 en werkt voor wat betreft Artikel II, tweede lid, en 
Artikel III, eerste lid, terug tot en met 1 januari 2014. 

ARTIKEL V 

Deze regeling wordt aangehaald als: Regeling aanlevering zorgvraagzwaarte cGGZ. 

Deze regeling wordt met de bijhorende toelichting en de bijlage in de Staatscourant geplaatst. 

De Minister van Volksgezondheid, Welzijn en Sport, 

E.l. Schippers 
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TOELICHTING 



Inhoud 

Algemeen deel 

1. Inleiding 

2. Wijziging van de uitgangssituatie 

3. Verkenning alternatieven 

4. Alternatieve aanlevering van de zorgvraagzwaarteindicator 

5. Uitwerking routes alternatieve declaraties 

6. Groeimodel 

7. Verwerking persoonsgegevens 

8. Wettelijk kader bescherming persoonsgegevens 

9. Advies CBP 

10. Verwerking advies CBP 

11. Fraudetoets 

Artikelsgewijs 


Algemeen deel 
1. Inleiding 

Op 30 oktober 2013 is de Regeling zorgvraagzwaarte cGGZ vastgesteld 1 . Met die regeling werd de 
verplichting opgelegd aan zorgaanbieders om het gegeven zorgvraagzwaarte 2 op de factuur te 
vermelden indien de Nederlandse Zorgautoriteit, verder te noemen de zorgautoriteit, daartoe een 
declaratieregeling zou vaststellen. Met die regeling werd ook een definitie van zorgvraagzwaarte en 
een definitie van het rapport zorgvraagzwaarte, waarin de zorgvraagzwaarte werd beschreven, 
opgenomen in de Regeling zorgverzekering (Rzv). De onderhavige regeling heeft betrekking op die 
zorgvraagzwaarte, bedoeld in dat rapport en de opvolger(s) daarvan 3 . De verwerking van het gegeven 
zorgvraagzwaarte is noodzakelijk voor de uitvoering van de formele en materiële controle en voor de 
zorginkoop, beide uit te voeren door zorgverzekeraars, en voor de uitvoering van de risicoverevening 
door Zorginstituut Nederland, verder te noemen het zorginstituut 4 . De genoemde regeling beperkte 
het gebruik van het gegeven zorgvraagzwaarte voor de uitvoering van formele en materiële controle 
tot de in artikel 7.1, tweede lid, aangegeven doelen en tot de toepassing van artikel 7.4a. Daarbij is 
vastgesteld en in de toelichting bij die regeling opgenomen dat het enkele gegeven zorgvraagzwaarte, 
als bedoeld in het rapport zorgvraagzwaarte 1.0, onvoldoende zeggingskracht heeft om in individuele 
gevallen bij individuele verzekerden de rechtmatigheid van een ingediende declaratie te betwisten. In 
de toelichting bij die regeling is ook vastgesteld dat het gegeven zorgvraagzwaarte voor de materiële 
controle en zorginkoop bruikbaar kan zijn op geaggregeerd niveau per zorgaanbieder/praktijk. Aan het 
niveau van aggregatie en de daarover tussen zorgaanbieders en zorgverzekeraars te maken afspraken 
wordt in hoofdstuk 4 van deze toelichting nader aandacht besteed. Een concept van de genoemde 
Regeling zorgvraagzwaarte cGGZ is indertijd ter toetsing voorgelegd aan het College bescherming 
persoonsgegevens (CBP). Het CBP heeft op 4 september 2013 geadviseerd 4 . 

In de toelichting bij die Regeling zorgvraagzwaarte cGGZ is ingegaan op de keuze voor de wijze 
waarop het gegeven zorgvraagzwaarte aan verzekeraars moest worden verstrekt en waarom er, bij 
gebrek aan een andere wijze die minder belastend zou zijn geweest voor de bescherming van 
persoonsgegevens van patiënten en verzekerden, voor verplichte vermelding van de zorgvraagzwaart¬ 
eindicator (zvzi) op de factuur was gekozen. 

In verband met de verkenning van een mogelijke alternatieve aanlevering van het gegeven zorgvraag¬ 
zwaarte door zorgaanbieders aan zorgverzekeraars is de verplichting tot verstrekking van het gegeven 
zorgvraagzwaarte op de factuur bij regeling van 23 september 2014 tijdelijk opgeschort tot en met 
31 december 2014 6 . Bij regeling van 5 maart 2015 is die tijdelijke opschorting verlengd tot en met 


1 Stcrt. 2013, nr. 30961 

2 In de artikelen van de onderhavige regeling wordt het begrip 'het gegeven zorgvraagzwaarte' gebruikt. Omdat dat gegeven tot nu 
toe alleen in de vorm van een zorgvraagzwaarteindicator wordt gebruikt, wordt in deze toelichting veelal het begrip zorgvraag¬ 
zwaarteindicator gebezigd, afgekort tot zvzi 

3 Een tweede rapport over zorgvraagzwaarte is vastgesteld; de definitie in de Rzv wordt aangepast 

4 Zie toelichting bij de Regeling zorgvraagzwaarte cGGZ 
4 Bijlage bij Kamerstukken II, 2013/14, 25 424, nr. 229 

6 Stcrt. 2014, nr. 27276 
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31 december 20 1 5 7 . De Tweede Kamer der Staten-Generaal is bij brief van 16 december 2014 over de 
verlenging ingelicht 8 . 

Inmiddels is een alternatieve wijze van verstrekking van het gegeven zorgvraagzwaarte ontwikkeld 
door GGZ Nederland, de Landelijke Vereniging van Vrijgevestigde Psychologen en Psychotherapeuten 
(LVVP), de Nederlandse Vereniging voor de Psychiatrie (NVvP), het Nederlands Instituut voor 
Psychologen (NIP), het Landelijk Platform GGZ (LPGGZ), Zorgverzekeraars Nederland en de zorgauto¬ 
riteit. Deze nieuwe wijze van aanlevering is minder belastend voor de bescherming van de persoon¬ 
lijke levenssfeer van de verzekerde patiënt dan de verplichte vermelding van de zvzi op de ggz-factuur. 
De nieuwe wijze van aanlevering bestaat uit een wijze waarbij de zorgaanbieder aan de zorgverzeke¬ 
raar declareert door tussenkomst van VECOZO B.V., verder te noemen VECOZO, verder aangeduid als 
'digitale declaratie', en een wijze van aanleveren die niet geschiedt door tussenkomst van VECOZO, 
verder aangeduid als 'papieren declaratie'. 

Door de digitale wijze van aanlevering via VECOZO - en de daarbij behorende maskering van de zvzi - 
beschikt de zorgverzekeraar niet over de tot de verzekerde patiënt herleidbare zvzi indien de kosten 
van gespecialiseerde geestelijke gezondheidszorg bij de zorgverzekeraar in rekening worden gebracht. 
Ten behoeve van de materiële controle krijgt de verzekeraar van Vektis C.V, verder te noemen Vektis, 
wel de beschikking over analyses op geaggregeerd niveau waarin de zorgvraagzwaarteindicatoren zijn 
verwerkt. VECOZO en Vektis treden bij de verwerkingen van de zvzi op als Trusted Third Party (TTP). 
Het alternatief voor de papieren declaratie betreft het maskeren 9 van de zvzi op de papieren declaratie. 
De reden dat het gegeven zorgvraagzwaarte op de papieren declaratie kan worden gemaskeerd ligt in 
de verwachting dat de stroom van papieren declaraties zal afnemen, het thans in relatieve zin geringe 
aandeel in de kosten voor gespecialiseerde ggz en het evenzeer relatief geringe aandeel van deze 
declaraties in het totaal aantal declaraties. 

De nieuwe wijze van aanlevering is in de vorm van een concept van onderhavige regeling voor advies 
voorgelegd aan het CBR In die regeling was de alternatieve aanlevering die in de onderhavige 
regeling als hoofdregel is opgenomen als tijdelijk aangemerkt, in afwachting van een definitieve 
vormgeving van de aanlevering, die naar toenmalige verwachting in werking zou treden op 1 januari 
2017. Die inwerkingtreding wordt thans voorzien op een later tijdstip en wordt in overleg met alle 
betrokken partijen nader bepaald. Het CBP op 15 september 2015 positief geadviseerd heeft over 
zowel de voorgenomen definitieve vormgeving als over de tijdelijke vormgeving van de aanlevering 10 . 
In hoofdstuk 9 is aangegeven hoe dat advies in de onderhavige regeling is verwerkt. Het advies is als 
bijlage bij deze toelichting gevoegd. 

Inmiddels is een vervolgrapport over zorgvraagzwaarte vastgesteld waarin ook wordt ingegaan op het 
gebruik van de zvzi. 

Alvorens de alternatieve aanleveringen van de zvzi nader te schetsen, wordt eerst de uitgangssituatie 
weergegeven voor de onderhavige regeling. 

2 . Uitgangssituatie 

De verplichting de zvzi te verstrekken ten behoeve van de zorginkoop, materiële controle en risico- 
verevening voor de uitvoering van de zorgverzekering en de Zorgverzekeringswet geldt met ingang 
van 2014 op grond van de Regeling zorgvraagzwaarte cGGZ. Papieren verstrekking van de zvzi op de 
factuur is mogelijk per 1 januari 2014. Softwarematige verstrekking van de zvzi per elektronische 
factuur is mogelijk per 1 juli 2014. Er kunnen zorgaanbieders zijn die de zvzi in 2014 hebben verstrekt 
aan verzekeraars of patiënten. 

Voor de verstrekking van medische persoonsgegevens als de zvzi door de zorgaanbieder, heeft deze 
een wettelijke grondslag nodig om het beroepsgeheim te doorbreken en de geheimhoudingsplicht op 
te heffen. De wettelijke grondslag bestaat uit de verplichtingen voor zorgaanbieders neergelegd in 
artikel 87 Zorgverzekeringswet (Zvw), hoofdstuk 7 van de Rzv en de declaratieregeling van de 
zorgautoriteit op grond van artikel 38 Wet marktordening gezondheidszorg (WMG). Zo nodig kunnen 
ook de artikelen 61, 62 en 68 WMG een wettelijke grondslag bieden. 

De bevoegdheden van de verzekeraars met betrekking tot de zvzi zijn sinds 2014 onder andere 
gelimiteerd op basis van artikel 87 Zvw, hoofdstuk 7 van de Rzv en de declaratieregeling van de 
zorgautoriteit op grond van artikel 38 WMG. 

De bevoegdheid van Zorginstituut Nederland, verder te noemen het zorginstituut, om de zvzi te 
verwerken voor de risicoverevening berust op de taken die dat instituut uitvoert op grond van de 
artikelen in paragraaf 4.2 Zvw. 

De verplichting voor de zorgaanbieder bestaat uit het aanleveren van de in hoofdstuk 7 van de Rzv en 
de declaratieregeling van de zorgautoriteit op grond van artikel 38 WMG genoemde gegevens. Artikel 


7 Stcrt. 2015, nr. 6779 

8 Kamerstukken II 2014/15, 25 424, nr. 259 

9 Onder maskeren wordt verstaan het zodanig wijzigen van een specifiek kenmerk dat dit onherkenbaar wordt en dat specifieke 
kenmerk niet meer herkenbaar gemaakt kan worden. 

10 Advies CBP, 15 september 2015, kenmerk Z2015-00360 
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87 Zvw geeft de ruimte om in de Rzv nader te bepalen of een gegeven, waaronder ook kan worden 
verstaan een medisch persoonsgegeven, door zorgaanbieders op de factuur of op andere wijze aan de 
verzekeraars moet worden verstrekt. Een gedetailleerde beschrijving van de verhouding tussen artikel 
87 Zvw, hoofdstuk 7 van de Rzv en de declaratieregeling van de zorgautoriteit op grond van artikel 38 
WMG is opgenomen in de toelichting bij de Regeling zorgvraagzwaarte cGGZ. 

3. Verkenning alternatieven 

Voor de zorgverzekeraars en het zorginstituut, zijn de hoofdprocessen, die betrekking hebben op 
zorginkoop, declaratieafhandeling met formele en materiële controle en de risicoverevening, 
afhankelijk van informatie uit het declaratieverkeer en de gegevens die daarbij door zorgaanbieders 
worden aangeleverd. Omdat de meeste declaraties digitaal door zorgaanbieders worden aangeleverd 
via VECOZO aan de zorgverzekeraars is de aandacht bij de verkenning van mogelijkheden voor een 
alternatieve aanlevering van de zvzi naar dat traject uitgegaan. VECOZO is bereid gevonden de functie 
van TTP te vervullen en de zvzi, die tegelijkertijd met de andere declaratiegegevens moet worden 
aangeleverd, zodanig te maskeren dat enerzijds de zorgverzekeraars niet over de tot de individuele 
verzekerde patiënt herleidbare zvzi beschikken en anderzijds analyses gemaakt kunnen worden ten 
behoeve van materiële controle, risicoverevening en zorginkoop. Vektis, ook als TTP, is de gerede 
partij om voor zorgverzekeraars en zorgaanbieders binnen door hen te maken afspraken die analyses 
uit te voeren. Daarnaast is Vektis bereid gevonden om declaratiebestanden van verzekeraars aan te 
vullen met versleutelde zvzi's, welke bestanden zorgverzekeraars bij het zorginstituut moeten 
aanleveren ten behoeve van de uitvoering van de risicoverevening. Doordat Vektis de sleutel op 
verzoek verstrekt aan het zorginstituut kan deze laatste de zvzi's ontsleutelen en bewerkingen 
uitvoeren die noodzakelijk zijn voor de risicoverevening. Vektis is, als TTP, voor de GGZ-patiënten, 
zorgprofessionals, instellingen en verzekeraars, 11 aanvaardbaar als bewerker van de zvzi. 

Naast de digitale declaratie vindt ook declaratie op papier plaats. Dat betreft een zeer gering deel van 
de schadelast van de gespecialiseerde geestelijke gezondheidszorg en een gering deel van het totaal 
aantal declaraties voor die zorg. Er zijn voor de papieren declaratiestroom verschillende varianten 
onderzocht waarop een aanlevering van de zvzi zou kunnen plaats vinden. Daarbij was het doel ook 
deze aanlevering zo min mogelijk belastend te laten zijn voor de persoonlijke levenssfeer van de 
verzekerde patiënt. Bij het in kaart brengen van varianten is gedacht aan een versleuteling van de zvzi 
bij de zorgaanbieder, handmatig dan wel softwarematig, aan een aanlevering van de papieren 
declaratie aan VECOZO die deze declaratie digitaliseert en de zvzi versleutelt, aan een aanlevering van 
de papieren declaratie met de verplichting voor de zorgaanbieder eerst de patiënt te informeren over 
de mogelijkheid een privacyverklaring te gebruiken en diens keuze af te wachten alvorens de 
geleverde zorg in rekening mag worden gebracht en tenslotte is gedacht aan een derde TTP die de 
declaraties ontvangt en de zvzi versleutelt en de declaratie terugstuurt naar de zorgaanbieder dan wel 
de verzekerde of die de declaratie namens de verzekerde doorstuurt aan de zorgverzekeraar, waarbij 
deze TTP dan de sleutel zou verstrekken aan Vektis en het zorginstituut ten behoeve van de relevante 
bewerkingen. 

De in voorgaande alinea kort beschreven varianten voor het aanleveren van de zvzi bij de papieren 
declaratiestroom zijn alle afgewezen op basis van de volgende argumenten: 

- Het gaat hier om een zeer gering deel van de schadelast gespecialiseerde ggz; 

- Het gaat hier om een gering deel van het totaal aantal declaraties voor gespecialiseerde ggz; 

- De procedure van de versleuteling door een TTP van de zvzi die op papier moet worden aangele¬ 
verd aan de patiënt is administratief omslachtig en kostbaar; 

- Het is niet wenselijk de bewijslast op te leggen aan de zorgaanbieder dat een verplichting is 
nageleefd de patiënt te informeren overeen privacyverklaring (administratieve lasten). 

Daar komt nog het volgende bij: 

- Door de toename van digitaal declareren en afname van de papieren declaraties zouden de kosten 
voor versleuteling van de zvzi op de papieren declaratie door steeds minder betrokkenen moeten 
worden gedragen; 

- De zorgverzekeraars kunnen digitaal declareren stimuleren door de daarvoor noodzakelijke 
overeenkomst niet te koppelen aan zorginhoudelijke aspecten; 

De zorgverzekeraars kunnen wellicht binnen de maximumtarieven die gelden voor gespeciali¬ 
seerde ggz afspraken maken die stimuleren tot declareren via VECOZO. 

Voor digitaal declareren moeten zorgaanbieders een declaratieovereenkomst sluiten met een 


11 In deze vertegenwoordigd door: het Landelijk Platform GGZ (LPGGZ).de Landelijke Vereniging van Vrijgevestigde Psychologen en 
Psychotherapeuten (LVVP), de Nederlandse Vereniging voor de Psychiatrie (NVvP), het Nederlands Instituut voor Psychologen 
(NIP), GGZ Nederland en Zorgverzekeraars Nederland. 
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zorgverzekeraar en een (gratis) certificaat aanvragen bij VECOZO. Voor digitaal declareren moeten 
zorgaanbieders zelf zorgen voor een daartoe geschikt softwarepakket. 



In dit hiervoor in de toelichting geschetste samenstel van feiten en omstandigheden wordt aanleiding 
gezien om af te zien van de verplichting tot aanlevering van een versleutelde zvzi bij een papieren 
declaratie. Alles overwegende wordt het opleggen van een dergelijke verplichting als disproportioneel 
gezien. Daarnaast is het de verwachting dat steeds minder zorgaanbieders overblijven die een 
papieren declaratie indienen bij de verzekerde of bij de zorgverzekeraar namens de verzekerde, 
waardoor de disproportionaliteit van een dergelijke verplichting nog zal toenemen. In het licht van 
voorgaande overwegingen en conclusie is het daarnaast ook niet wenselijk dat een beroep op een 
privacyverklaring noodzakelijk is voor het niet vermelden van de zvzi. Daarom wordt in de regeling zelf 
opgenomen dat de verzekeraar ook bij een papieren declaratie niet de beschikking krijgt over tot de 
individuele verzekerde patiënt herleidbare zorgvraagzwaartegegevens. De zorgautoriteit kan daartoe in 
een declaratieregeling nadere regels voor vaststellen, waarmee bijvoorbeeld kan worden verplicht dat 
het gegeven zorgvraagzwaarte op de papieren declaratie wordt gemaskeerd, (bijvoorbeeld) door 
standaard de getallen '000' te vermelden in het deel van de prestatiecode dat nu gereserveerd is voor 
de zvzi. De zorgautoriteit kan na overleg met het veld tot zodanige maskeringen verplichten dat nog 
onderscheid kan worden gemaakt naar maskering van zvzi bij digitale declaratie met en zonder 
privacyverklaring en bij papieren declaratie ook met en zonder privacyverklaring. Het onderscheid in 
maskering kan noodzakelijk zijn voor verwerkingen van de zvzi ten behoeve van de zorginkoop, 
formele en materiële controle en de risicoverevening. 

4. Alternatieve aanlevering van de zorgvraagzwaarteindicator 

De voorgaande verkenning van alternatieven heeft geleid tot het volgende model voor alternatieve 
aanlevering van de zvzi dat de basis vormt voor onderhavige regeling. 

De hoofddoelen 

Gezamenlijk overleg tussen vertegenwoordigers van de eerdergenoemde betrokken partijen over de 
wijze waarop moet en kan worden omgegaan met zorgvraagzwaartegegevens in het declaratieverkeer, 
levert het volgende beeld op: 

• Doel is dat verzekeraars niet anders dan in geaggregeerde vorm de beschikking krijgen over de 
zvzi; 

• De opzet om dat te bewerkstelligen moet zo veel mogelijk aansluiten bij de gangbare praktijk; 

• De uitwerking moet een zo laag mogelijke regeldruk en zo laag mogelijke administratieve lasten 
met zich brengen; 

• De verzekeraars moeten kunnen voldoen aan hun verplichtingen in het kader van de risicovereve¬ 
ning. 

De zekerheden 

In de regeling zijn de volgende zekerheden/waarborgen vastgelegd: 

• De zorgverzekeraar beschikt niet over de sleutel om een versleutelde zvzi te kunnen ontsleutelen; 

• De verwerking van zorgvraagzwaartegegevens door VECOZO en Vektis geschiedt als Trusted Third 
Party (TTP); 

• Voor VECOZO en Vektis gelden dezelfde wettelijke voorschriften inzake geheimhouding van de 
verwerkte gegevens als voor de zorgverzekeraar; 

• De verwerking van zorgvraagzwaartegegevens door VECOZO en Vektis, als TTP, moet voldoen aan 
passende technische standaarden en verantwoordingen; 

• De door Vektis aan zorgaanbieders en zorgverzekeraars te verstrekken analyses bevatten geen tot 
individuele verzekerden te herleiden zorgvraagzwaartegegevens; 

• De door Vektis te maken analyses zijn gebonden aan afspraken die daarover tussen zorgaanbie¬ 
ders en verzekeraars zijn gemaakt (zie de volgende paragraaf over de randvoorwaarden rond 
aggregatie); 

• De basisgegevens waaruit de zvzi wordt afgeleid zijn opgenomen in de administratie van de 
zorgaanbieder; 

• De gegevens van de patiënt die noodzakelijk zijn voor het onderbouwen en afleiden van de zvzi 
moeten, herleidbaar naar de betreffende individuele patiënt en de zorgaanbieder, worden verwerkt 
onder verantwoordelijkheid van een medisch adviseur in opdracht van de zorgverzekeraar, indien 
op grond van analyse van de zorgverzekeraar (op basis van geaggregeerde gegevens), of naar 
aanleiding van een ander signaal, er reden is voor het instellen van (nadere) materiële controle. De 
normale regels met betrekking tot de uitvoering van materiële controle blijven daarbij voor de 
zorgverzekeraar en de zorgaanbieder van kracht. 

De randvoorwaarden rond aggregatie 

Met een uniforme maatregel bij de Gedragscode goed verzekeraarschap wordt geborgd dat de 
zorgvraagzwaartegegevens door de zorgverzekeraar uitsluitend in geaggregeerde vorm worden 


8 


Staatscourant 2015 nr. 41212 20 november 2015 





gebruikt voor risicoanalyse in het materiële controleproces en bij zorginkoop. De zvzi heeft volgens het 
rapport zorgvraagzwaarte alleen voldoende zeggingskracht op voldoende aggregatieniveau. De zvzi 
moet echter wel bij elke declaratie worden aangeleverd ten behoeve de uitvoering van de risico- 
verevening door het zorginstituut. Het tussen zorgaanbieders en zorgverzekeraars overeengekomen 
niveau van aggregatie voor het maken van analyses heeft dus geen invloed op de aanlevering van de 
zvzi, maar enkel op het verwerken daarvan ten behoeve van materiële controle en zorginkoop 12 . 

In die bedoelde uniforme maatregel zullen zorgverzekeraars ook vastleggen dat de zvzi bij analyses 
gebruikt zal worden overeenkomstig het beoordelingskader, zoals dat nu is ontwikkeld ten behoeve 
van de opvolger van het eerste rapport over de zvzi. Dat laat een latere aanpassing van het niveau van 
aggregatie en de uniforme maatregel in verband met verdere dóórontwikkeling van de zvzi en de 
vastlegging daarvan in nieuwe rapportages onverlet. 

De hoofdlijnen van de alternatieve aanleveringen 

Bij de alternatieve wijzen van aanlevering van de zvzi wordt aangesloten bij de bestaande gegevens¬ 
stromen met betrekking tot declaraties van zorgaanbieders. Daarbij wordt zowel in de praktijk als in 
deze regeling het onderscheidend criterium gehanteerd of de zorgaanbieder wel of niet door 
tussenkomst van VECOZO aan de zorgverzekeraar de kosten voor geneeskundige geestelijke gezond¬ 
heidszorg in rekening brengt. 

Wordt door tussenkomst van VECOZO gedeclareerd, dan wordt de zvzi meegeleverd en zorgt VECOZO 
voor maskering van de zvzi bij de ggz-declaratie, zodat de verzekeraar niet over de ongemaskeerde 
zvzi van de individuele verzekerde patiënt beschikt. 

Wordt niet door tussenkomst van VECOZO gedeclareerd dan dient de zorgaanbieder de zvzi op de 
declaratie ook te maskeren. De zorgautoriteit legt vast op welke wijze de zvzi moet worden gemas¬ 
keerd. Vektis ontvangt ook de gegevens die zijn aangeleverd bij de papieren declaratie (zoals vermeld, 
zonder de zvzi). 

De digitale gegevensstroom gaat van de zorgaanbieder via het zorgportal VECOZO, naar de desbetref¬ 
fende verzekeraar, nadat het gegeven zvzi door VECOZO is gemaskeerd. De informatie over de 
zorgvraagzwaarte wordt (net als nu) bij het indienen van een declaratie softwarematig afgeleid uit de 
gegevens die door de zorgaanbieders op grond van een administratieregeling van de zorgautoriteit 
verplicht worden geregistreerd. De zvzi wordt echter (anders dan nu) gemaskeerd met de andere 
declaratiegegevens bij de verzekeraar aangeleverd. 

VECOZO zendt de declaratiegegevens en de daarbij behorende ongemaskeerde zvzi aan Vektis. 

De verzekeraar zendt de declaratiegegevens na controle in een bestand met de gemaskeerde zvzi via 
VECOZO 13 door naar Vektis. Vektis vult de declaratiebestanden van verzekeraars aan met de zvzi, nadat 
deze zvzi door Vektis is versleuteld. 

De verzekeraar zendt de aangevulde declaratiebestanden naar het zorginstituut ten behoeve van de 
uitvoering van de risicoverevening. Doordat Vektis de sleutel op verzoek verstrekt aan het zorginstituut 
kan deze de bewerkingen uitvoeren die noodzakelijk zijn voor de risicoverevening. De verzekeraars 
beschikken niet over de sleutel om de zvzi weer te ontsleutelen. Alleen Vektis en het zorginstituut 
beschikken over de sleutel voor de statistische bewerkingen respectievelijk de uitvoering van de 
risicoverevening. 

De Bewerking 

Vektis treedt op als Trusted Third Party (TTP). Over de verwerking van de zvzi worden door partijen 
afspraken gemaakt. Binnen die afspraken kan Vektis TTP allerlei analyses op geaggregeerd niveau 
maken: 

- voor de verzekeraars, bijvoorbeeld ten behoeve van materiële controle en zorginkoop, en 

- voor de GGZ-patiënten, -professionals, -instellingen en verzekeraars, om zodoende een 'lerende 
omgeving' te vormen waarin de zvzi wordt doorontwikkeld. 

De Risicoverevening 

De zorgverzekeraar beschikt niet over de sleutel om het gegeven zorgvraagzwaarte te ontsleutelen. De 
zorgverzekeraar kan dus niet de sleutel verstrekken aan het zorginstituut. Er bestaat op dit moment 


12 Betrokken partijen hebben volgende afspraken gemaakt over de verwerking van de zvz. In het plan van eisen, zoals dat 
gezamenlijk voor de onderhavige regeling is vastgesteld, staat daarover het volgende: 

c. In een door een bestuurlijk overleg vastgestelde tekst worden zorgvuldigheidswaarborgen neergelegd, waaronder dat het 
gebruik van het gegeven zorgvraagzwaarte alleen gebeurt op groepen van voldoende omvang (nader te bepalen). Daarbij wordt 
geregeld dat als een aanbieder minder patiënten in een kalenderjaar behandelt dan dat minimum aantal, die aanbieder niet identi¬ 
ficeerbaar is in het record/overzicht. De in het bestuurlijk overleg vastgestelde tekst zal worden opgenomen in een uniforme 
maatregel bij de Gedragscode goed verzekeraarschap; 

d. De zorgverzekeraar garandeert dat de zorgvraagzwaartegegevens door de verzekeraar uitsluitend worden gebruikt voor risico¬ 
analyse in het materiële controleproces en bij zorginkoop, conform door een bestuurlijk overleg vastgestelde tekst die kan dienen 
voor een uniforme maatregel bij de Gedragscode goed verzekeraarschap; 

13 VECOZO fungeert hier enkel als zorgportal/'doorgever', er vindt geen bewerking plaats 
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geen wettelijke basis (in een ministeriële regeling) Vektis te verplichten de sleutel aan het zorginstituut 
te verstrekken. Daarom moet het zorginstituut gebruik maken van artikel 88, eerste en tweede lid, Zvw 
waarbij het zorginstituut een verzoek doet aan Vektis de sleutel aan hem te verstrekken. Vektis is dan 
verplicht die sleutel op grond van dat artikel kosteloos te verstrekken aan het zorginstituut. 

De Controles 

VECOZO controleert of declaraties waarbij volgens de regeling van de zorgautoriteit door zorgaanbie¬ 
ders een zvzi moet worden aangeleverd, ook een zvzi bevatten. (Bij een aantal typen dbc's, zoals 
crisis-dbc's, hoeft geen diagnose vermeld te worden en hoeft dus ook geen zvzi te worden aangele¬ 
verd. Dat geldt ook bij een zogenaamde privacyverklaring. De zorgautoriteit kan daar nadere regels 
over stellen). Omdat de maskering van de zvzi bij VECOZO zelf plaatsvindt, controleert VECOZO ook 
nog of de waarde van de zvzi overeenkomt met waarden die bij de zvzi horen (1-7). Voldoet de zvzi aan 
de criteria dan volgt maskering van de zvzi. Indien dat niet het geval is wordt de declaratie niet 
doorgezonden en wordt de aanbieder geïnformeerd. Dit proces is gelijk aan de andere controles die 
VECOZO al uitvoert. De zorgaanbieder kan dan een gecorrigeerde declaratie opnieuw indienen, op de 
wijze zoals in onderhavige regeling is bepaald. 

Vektis ontvangt van VECOZO de door zorgaanbieders aangeleverde declaratiegegevens en de 
bijbehorende zvzi en maakt als TTP, binnen de afspraken die partijen daarover hebben gemaakt, 
praktijkvariatie-analyses en eventuele andere analyses die verzekeraars of zorgaanbieders nodig 
hebben. Vektis betrekt daar ook de papieren declaraties bij (waarop, zoals toegelicht, een gemaskeerde 
zvzi wordt vermeld), waarover Vektis de informatie van de zorgverzekeraars ontvangt. Hierboven is al 
gewezen op de afspraken die gemaakt zijn over het niveau van aggregatie en verwerking van de zvzi. 
Verzekeraars en zorgaanbieders krijgen de analyses op de eigen verzekerden/patiënten, naast 
landelijke praktijkvariatiestudies. De uitkomsten mogen in de analyses niet herleidbaar zijn tot de zvzi 
van individuele verzekerden. De verzekeraars kunnen hiermee hun materiële controle uitvoeren 
volgens het trechtermodel. De zvzi is niet geschikt om te gebruiken voor controles op individueel 
declaratieniveau, maar wel op geaggregeerd niveau. Als een verzekeraar op grond van de analyses 
van Vektis een significant afwijkend patroon aantreft bij een zorgaanbieder (in relatie tot declaraties 
van zijn verzekerden en ten opzichte van andere vergelijkbare zorgaanbieders) kan dat volgens het 
trechtermodel een reden zijn om bij de aanbieder om uitleg te vragen van die afwijking 14 . Indien nodig 
kunnen onder verantwoordelijkheid van de medisch adviseur in opdracht van de zorgverzekeraar, als 
laatste stap in het proces van materiële controle, ook de relevante delen van patiëntendossiers 
worden ingezien. Daarbij kan onder verantwoordelijkheid van de medisch adviseur in opdracht van de 
verzekeraar ook worden gecontroleerd of de zvzi goed is afgeleid. 

De Vrijstelling 

Indien de zorgaanbieder een papieren declaratie zendt hoeft de tot de individuele verzekerde patiënt 
herleidbare zvzi niet te worden aangeleverd. De zorgaanbieder maskeert dan conform de door de 
zorgautoriteit vastgestelde regeling de zvzi. Deze vrijstelling is een wezenlijke verandering ten opzichte 
van de verplichting neergelegd in de Regeling zorgvraagzwaarte cGGZ. 

De Materiële controle 

De gegevens van de patiënt die noodzakelijk zijn voor het onderbouwen en afleiden van de zvzi 
moeten, herleidbaar naar de individuele patiënt en herleidbaar naar de zorgaanbieder, worden 
verwerkt onder verantwoordelijkheid van een medisch adviseur in opdracht van de zorgverzekeraar 
indien op grond van analyses van de verzekeraar (op basis van geaggregeerde gegevens), of naar 
aanleiding van een ander signaal, er reden is voor het instellen van (nadere) materiële controle. De 
normale regels met betrekking tot de uitvoering van materiële controle blijven daarbij voor zorgverze¬ 
keraars en zorgaanbieders van kracht. 

5. Uitwerking routes alternatieve declaraties 

In de onderhavige regeling is de alternatieve aanlevering vastgelegd die voldoet aan de waarborgen 
en zekerheden die alle betrokken partijen wensen met betrekking tot de bescherming van de persoon¬ 
lijke levenssfeer van de verzekerde patiënt, de uitvoering van de zorgverzekering en de Zvw en het 
verkrijgen van inzicht in de (eigen) praktijkvoering door zorgaanbieders. In deze paragraaf worden in 
hoofdlijnen puntsgewijs de routes uitgewerkt die met deze regeling worden bewerkstelligd. De 
zorgverzekeraar heeft bij elektronische declaratie geen beschikking over de tot de individuele 
verzekerde herleidbare zvzi. 

De zorgautoriteit kan na overleg met het veld tot zodanige maskeringen verplichten dat nog onder¬ 
scheid kan worden gemaakt naar maskering van zvzi bij digitale declaratie met of zonder privacyver- 


14 Deze analyses kunnen als onderdeel van kwaliteitsbeleid ook met de zorgaanbieders gezamenlijk worden besproken. 
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klaring en bij papieren declaratie ook met of zonder privacyverklaring. Het onderscheid in maskering 
kan noodzakelijk zijn voor verwerkingen van de zvzi ten behoeve van de zorginkoop, formele en 
materiële controle en de risicoverevening. 

In onderstaande schets van de routes wordt op de papieren declaratie op de positie van zvzi in de 
prestatiecode de waarde '000' ingevuld. Bij een uitzondering in verband met een privacyverklaring die 
verzekerde en zorgaanbieder beide hebben ondertekend, wordt in onderstaande routes op de positie 
van zvzi in de prestatiecode de waarde '999' ingevuld. De vervanging van de zvzi door de waarde '000' 
of '999' wordt maskering van de zvzi genoemd. Die waarden kunnen op grond van een regeling van de 
zorgautoriteit anders zijn. 

5 .7 De digitale declaratie zorgaanbieder - zorgverzekeraar 

De uitwerking van de aanlevering van de zvzi bij een digitale declaratie levert de volgende routes op 
tussen de betrokkenen: 

5.1.1 Declaratie zonder privacyverklaring: 

• Zorgaanbieder declareert via VECOZO met vermelding zvzi 

• VECOZO maskeert zvzi (waarde '000') 

• VECOZO levert declaratiegegevens inclusief gemaskeerde zvzi aan zorgverzekeraar 

• Zorgverzekeraar verwerkt declaratie 

5.1.2 Declaratie met privacyverklaring: 

• Zorgaanbieder declareert via VECOZO (met de zvzi waarde voor privacybezwaarde '999') 

• VECOZO levert declaratiegegevens inclusief gemaskeerde zvzi (waarde '999') aan zorgverzekeraar 

• Zorgverzekeraar verwerkt declaratie 

5.2 Route zorgaanbieder - VECOZO - (zorgverzekeraar) - Vektis 

5.2.1 Route niet gemaskeerde zvzi VECOZO aan Vektis 

• VECOZO levert declaratiegegevens inclusief niet gemaskeerde zvzi aan Vektis 

• Vektis maakt analyses voor zorgaanbieders en zorgverzekeraars conform onderling gemaakte 
afspraken 

• In de analyses van Vektis is de zvzi voor zorgaanbieders en zorgverzekeraars niet te herleiden tot 
individuele patiënten 

5.2.2 Route gemaskeerde zvzi zorgverzekeraars aan Vektis 

• VECOZO levert declaratiegegevens met gemaskeerde zvzi aan zorgverzekeraars 

• Zorgverzekeraar verwerkt declaratie 

• Zorgverzekeraars levert declaratiegegevens met gemaskeerde zvzi via VECOZO aan Vektis 

5.3 Route aanlevering gegevens risicoverevening 

• VECOZO levert declaratiegegevens inclusief de niet gemaskeerde zvzi aan Vektis 

• Zorgverzekeraar levert declaratiebestanden met gemaskeerde zvzi aan Vektis 

• Vektis voegt versleutelde zvzi toe aan declaratiebestanden en handhaaft bij privacyverklaring de 
gemaskeerde zvzi 

• Vektis levert aangevulde declaratiebestanden aan desbetreffende zorgverzekeraar 

• Zorgverzekeraar levert aangevulde declaratiebestanden aan ZorgTTP 

• ZorgTTP pseudonimiseert gegevens in het declaratiebestand 

• ZorgTTP levert gepseudonimiseerd declaratiebestand aan Zorginstituut 

• Zorginstituut ontvangt desgevraagd van Vektis sleutel 

• Zorginstituut ontsleutelt zvzi en maakt analyses voor risicoverevening 

5.4 De papieren declaratie 

5.4.1 Route papieren declaratie aan verzekerde of (namens de verzekerde) aan 
zorgverzekeraar 

5.4.1.1 Declaratie zonder privacyverklaring 

• Zorgaanbieder declareert aan verzekerde of namens verzekerde aan zorgverzekeraar 
o met gemaskeerde vermelding zvzi op de declaratie (waarde '000') 
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• Zorgverzekeraar verwerkt declaratie 

5.4.1.2 Declaratie met privacyverklaring 

• Zorgaanbieder declareert aan verzekerde of namens verzekerde aan zorgverzekeraar 
o met gemaskeerde vermelding zvzi op de declaratie (waarde '999') 

• Zorgverzekeraar verwerkt declaratie 

5.4.2 Route zorgaanbieder - verzekerde - zorgverzekeraar - Vektis 

• Zorgaanbieder declareert aan verzekerde of namens verzekerde aan zorgverzekeraar 
o met gemaskeerde zvzi op de declaratie (waarde '000' of '999') 

• Zorgverzekeraar verwerkt declaratie 

• Zorgverzekeraar levert declaratiegegevens met gemaskeerde zvzi aan Vektis 

• Vektis maakt analyses voor zorgaanbieders en zorgverzekeraars 

5.4.3 Route zorgaanbieder-verzekerde -zorgverzekeraar - ZorgTTP -Zorginstituut 

• Zorgaanbieder declareert aan verzekerde of namens verzekerde aan zorgverzekeraar 
o met gemaskeerde zvzi op de declaratie (waarde '000' of '999') 

• Zorgverzekeraar verwerkt declaratie 

• Zorgverzekeraar levert declaratiegegevens aan ZorgTTP 

• ZorgTTP pseudonimiseert declaratiegegevens 

• ZorgTTP levert gepseudonimiseerd declaratiegegevens aan Zorginstituut 

• Zorginstituut maakt analyses voor risicoverevening 

6. Groeimodel 

Het is de bedoeling op een met betrokken partijen nader te bepalen tijdstip het geschetste model van 
aanlevering te vervangen door een model dat hieronder op hoofdlijnen wordt geschetst. 

In het toekomstige model voor de aanlevering van de zvzi wordt ook aangesloten bij de bestaande 
gegevensstromen met betrekking tot declaraties van zorgaanbieders, zoals die na de inwerkingtreding 
en implementatie van deze regeling zijn ontstaan. Daarbij blijft zowel in de praktijk als in de regeling 
het onderscheidend criterium gehanteerd of de zorgaanbieder wel of niet door tussenkomst van 
VECOZO aan de zorgverzekeraar de kosten voor geneeskundige geestelijke gezondheidszorg in 
rekening brengt. 

Wordt door tussenkomst van VECOZO gedeclareerd, dan wordt de zvzi meegeleverd en zorgt VECOZO 
voor versleuteling van de zvzi bij de ggz-declaratie, zodat de verzekeraar niet over de zvzi van de 
individuele verzekerde patiënt beschikt. Die versleuteling is nieuw ten opzichte van het in onderhavige 
regeling neergelegde systeem, waarbij VECOZO de zvzi maskeert. 

Wordt niet door tussenkomst van VECOZO gedeclareerd dan dient de zorgaanbieder de zvzi op de 
declaratie te maskeren. Daarin is thans geen wijziging voorzien. 

De digitale gegevensstroom gaat in het toekomstige model van de zorgaanbieder via het zorgportal 
VECOZO, naar de desbetreffende verzekeraar, nadat het gegeven zvzi door VECOZO is versleuteld. De 
informatie over de zorgvraagzwaarte wordt bij het indienen van een declaratie softwarematig afgeleid 
uit de gegevens die door de zorgaanbieders op grond van een administratieregeling van de zorgauto¬ 
riteit verplicht worden geregistreerd. De zvzi wordt echter (in dat model) versleuteld met de andere 
declaratiegegevens bij de verzekeraar aangeleverd. 

De verzekeraar zendt de declaratiegegevens met de versleutelde zvzi na controle via VECOZO 15 door 
naar Vektis voor het maken van analyses en naar het zorginstituut, ten behoeve van de uitvoering van 
de risicoverevening. De verzekeraars beschikken niet over de sleutel om de zvzi weer te ontsleutelen. 
Alleen Vektis en het zorginstituut beschikken over de sleutel voor de statistische bewerkingen 
respectievelijk de uitvoering van de risicoverevening. Vecozo en Vektis blijven voor de verwerking van 
de zvzi een wettelijke TTR 

Bij de toekomstige aanlevering wordt de zvzi dus niet meer gemaskeerd maar versleuteld door 
VECOZO aangeleverd aan de zorgverzekeraars en krijgt Vektis niet meer de onversleutelde of 
ongemaskeerde gegevens van VECOZO. Wel krijgen Vektis en het zorginstituut de sleutel van VECOZO 
om de versleutelde zvzi te ontsleutelen ten behoeve van de analyses respectievelijk de risicovereve¬ 
ning. Zorgverzekeraar krijgen ook in het toekomstige model niet de beschikking over tot de individuele 
verzekerde te herleiden zvzi. 


15 VECOZO fungeert hier enkel als zorgportal/'doorgever', er vindt geen bewerking plaats 
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De Rzv zal te gelegener tijd dienovereenkomstig worden gewijzigd. 

7. Verwerking persoonsgegevens 

Voor het uitvoeren van de alternatieve aanlevering van het gegeven zorgvraagzwaarte via VECOZO, 
waarbij dit gegeven gemaskeerd, versleuteld en ontsleuteld wordt, moeten zorgaanbieders, zorgverze¬ 
keraars, VECOZO, Vektis en het zorginstituut beschikken over de juiste bevoegdheden, al dan niet 
gebaseerd op bij of krachtens de wet opgelegde verplichtingen, om, waar dat noodzakelijk is bij de 
verwerking van persoonsgegevens, inbreuk te kunnen maken op de bescherming van de persoonlijke 
levenssfeer. 

1. Voor de zorgaanbieders die de zvzi reeds vóór 2 oktober 2014 16 hadden verstrekt op de factuur aan 
zorgverzekeraars, moet er een wettelijke grondslag blijven voor het hebben doorbroken van het 
beroepsgeheim en het opheffen van de geheimhoudingsplicht; 

2. Voor de zorgaanbieders die de zvzi vóór 2 oktober 2014 nog niet hadden verstrekt op de factuur, 
moet er een wettelijke grondslag komen de zvzi alsnog voor heel 2014 en 2015 op een (alterna¬ 
tieve) wijze aan te leveren 17 ; 

3. Voor de zorgaanbieders die de zvzi op de hiervoor beschreven alternatieve wijze via VECOZO 
moeten aanleveren aan verzekeraars moet er een wettelijke grondslag zijn 18 om: 

a. gegevens uit het behandeldossier van de patiënt te bewerken tot/naar een (gemaskeerde) zvzi, 

b. gegevens uit het behandeldossier van de patiënt te bewerken en deze bij een privacyverklaring 

te maskeren, en 

c. de (al dan niet gemaskeerde) zvzi samen met de patiëntidentificerende gegevens te verstrekken 
aan VECOZO; 

4. Voor de zorgaanbieders die de zvzi van een in 2015 geopende dbc abusievelijk op de hiervoor in 
deze toelichting beschreven alternatieve wijze via VECOZO aanlevert aan verzekeraars, voordat de 
verplichting in werking treedt om gebruik te maken van de in deze regeling neergelegde aanleve¬ 
ring, moet er een wettelijke grondslag zijn om: 

a. gegevens uit het behandeldossier van de patiënt te bewerken tot/naar een zvzi, 

b. gegevens uit het behandeldossier van de patiënt te bewerken tot/naar een zvzi en deze bij een 

privacyverklaring te maskeren en 

c. de zvzi samen met de patiëntidentificerende gegevens te verstrekken aan VECOZO; 

5. Voor de zorgaanbieders die papieren declaraties zenden moet een wettelijke grondslag komen de 
zvzi te maskeren; 

6. VECOZO moet de bevoegdheid hebben de door zorgaanbieders aangeleverde tot de patiënt 
herleidbare zvzi te maskeren, de gemaskeerde zvzi met de declaratiegegevens te leveren aan de 
desbetreffende zorgverzekeraar, de ongemaskeerde zvzi te leveren aan Vektis; 

7. Zorgverzekeraars moeten de bevoegdheid hebben: 

a. de gemaskeerde zvzi te zenden aan Vektis, zodat Vektis deze gemaskeerde zvzi kan vervangen 
in de declaratiebestanden door de juiste zvzi, nadat deze zvzi is versleuteld, en 

b. de aldus door Vektis aangevulde declaratiebestanden via ZorgTTP aan het zorginstituut ten 
behoeve van de uitvoering van de risicoverevening; 

8. Vektis moet de bevoegdheid hebben de ongemaskeerde zvzi te verwerken ten behoeve van het 
maken van de met zorgverzekeraars en zorgaanbieders afgesproken analyses op geaggregeerd 
niveau: 

a. voor de verzekeraars, bijvoorbeeld ten behoeve van materiële controle en zorginkoop, en 

b. voor de GGZ-patiënten, zorgprofessionals, instellingen en verzekeraars, om zodoende een 
'lerende omgeving' te vormen waarin de zvzi wordt doorontwikkeld; 

9. Vektis moet de bevoegdheid hebben de door zorgverzekeraars aangeleverde declaratiebestanden 
aan te vullen met een versleutelde zvzi en de declaratiebestanden met de versleutelde zvzi weer 
aan de desbetreffende zorgverzekeraar toe te zenden voor diens doorzending van het declaratiebe- 
stand via ZorgTTP aan het zorginstituut ten behoeve van de uitvoering van de risicoverevening; 

10. Vektis moet de bevoegdheid hebben de sleutel, die is gebruikt bij de versleuteling van de zvzi die 
aan de declaratiebestanden is toegevoegd, te verstrekken aan het zorginstituut; 

11. Het zorginstituut moet de bevoegdheid hebben de versleutelde zvzi te ontsleutelen, waardoor de 
zvzi weer een gegeven wordt dat aan een individuele gepseudonimiseerde verzekerde wordt 
gekoppeld ten behoeve van de uitvoering van de risicoverevening; 

12. De gegevens van de patiënt die noodzakelijk zijn voor het onderbouwen en afleiden van de zvzi 
van de desbetreffende patiënt moeten, herleidbaar naar de individuele patiënt en zorgaanbieder. 


16 Dit is de dag waarop de oorspronkelijke verplichting om de zvzi op de ggz-factuur te vermelden is opgeschort. Zie Stcrt. 2014, nr. 
27276. 

17 De NZa kan in een regeling op grond van de WMG de wijze van aanlevering van de zvzi over 2014 en 2015 vaststellen 

13 De wettelijke (WBP) uitzonderingsgrond dat dit nodig is voor de behandeling van de patiënt of dat er sprake is van de uitvoering 
van een overeenkomst, is niet van toepassing op de drie verwerkingen; een en ander overlaten aan het toestemmingsvereiste van 
de patiënt is een te grote administratieve belasting voor de zorgaanbieder en te grote onzekerheid voor de verzekeraar; blijft over 
de wettelijke uitzonderingsgrond dat een wettelijke regeling een verplichting oplegt. 
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worden verwerkt onder verantwoordelijkheid van een medisch adviseur in opdracht van de 
zorgverzekeraar indien op grond van analyse op basis van geaggregeerde gegevens, of naar 
aanleiding van een ander signaal, er reden is voor het instellen van (nadere) materiële controle. De 
wettelijke grondslag voor de materiële controle is (al) geregeld in artikel 87 Zvw en de Rzv. 


2014 en 2015 

Na afloop van de opschorting van de verplichting tot vermelding van de zvzi op de declaratie moeten 
de betreffende zvzi-en alsnog kunnen worden afgeleid uit de daarvoor relevante basisgegevens, zoals 
deze op basis van een administratieregel van de zorgautoriteit (verplicht) zijn opgenomen in de 
administratie van de zorgaanbieder. In overleg met alle partijen kan de zorgautoriteit op grond van de 
WMG over de aanlevering regels stellen. Het is niet de bedoeling de declaraties over de jaren 2014 en 

2015 opnieuw in te laten dienen en opnieuw te laten beoordelen door verzekeraars, aangezien dat een 
te grote administratieve belasting van zorgaanbieders en verzekeraars zou betekenen. 

In de regeling is erin voorzien dat er een wettelijke grondslag is voor de zorgaanbieders die de zvzi 
reeds vóór 2 oktober 2014 19 hadden verstrekt op de factuur aan zorgverzekeraars, voor het hebben 
doorbroken van het beroepsgeheim en het opheffen van de geheimhoudingsplicht. 

In de regeling is ook voorzien in een wettelijke grondslag voor zorgaanbieders die een zvzi via 
VECOZO aanleveren die behoort bij een in 2015 geopende dbc, dus voordat de verplichting in werking 
treedt om de alternatieve aanlevering te gebruiken. De vrijwaring heeft als doel om de administratieve 
last bij de zorgaanbieder te beperken door het voorkomen van onnodige afkeur van declaraties op 
basis van ingangsdatum. De zorgverzekeraar heeft daarmee ook een vrijwaring voor de ontvangst van 
de aangeleverde data over dbc's geopend voor 2016. Dit wil zeggen de data mogen worden gebruikt in 
rapportage maar er zijn geen verplichtingen. Deze zvzi's worden niet aangeleverd voor de risico- 
verevening, omdat ze niet worden opgenomen in de declaratiebestanden van verzekeraars met 
betrekking tot het jaar 2016. 

8. Wettelijk kader bescherming persoonsgegevens 

Het vermelden van persoonsgegevens van de verzekerde patiënt, waaronder persoonsgegevens 
betreffende de gezondheid, bij de declaratie, het verwerken van die persoonsgegevens door een 
zorgaanbieder, het verstrekken van die persoonsgegevens door een zorgaanbieder aan VECOZO, het 
verwerken van die persoonsgegevens door VECOZO ten behoeve van een gemaskeerde doorlevering 
aan verzekeraars, het versleutelen van de zvzi door Vektis en aanvullen van declaratiebestanden van 
verzekeraars, het verwerken van die persoonsgegevens door Vektis en het zorginstituut, betekenen 
een inperking van de bescherming van de persoonlijke levenssfeer van de verzekerde patiënt. 

De verplichting tot het verstrekken en verwerken van informatie op persoonsniveau ten behoeve van 
formele 20 en materiële 21 controle, zorginkoop en risicoverevening moet aan een aantal eisen op grond 
van privacywetgeving voldoen. Het gaat hier om persoonsgegevens betreffende de gezondheid als 
bedoeld in artikel 16 Wet bescherming persoonsgegevens (Wbp). Artikel 16 van de Wbp verbiedt de 
verwerking van persoonsgegevens met betrekking tot de gezondheid van personen. Artikel 21 Wbp 
bevat een uitzondering voor hulpverleners, instellingen of voorzieningen voor gezondheidszorg en 
zorgverzekeraars. Tevens vallen deze gegevens onder het medisch beroepsgeheim van de individuele 
zorgaanbieder 22 respectievelijk de geheimhoudingsplicht van de zorgaanbieder 23 . 

Omdat het gaat om medische informatie over patiënten moet worden voldaan aan hetgeen vereist is 
krachtens artikel 8 van het EVRM, artikel 8 van het Handvest van de grondrechten van de Europese 
Unie, evenals aan Richtlijn 95/46/EG van het Europees parlement en de Raad van 24 oktober 1995, 
waarvan de Wbp een uitwerking vormt en aan artikel 10 van de Grondwet. Vereist is dat voor elke bij 
of krachtens wet opgelegde verplichting tot doorbreking van de medische geheimhoudingsplicht de 
noodzaak, proportionaliteit en subsidiariteit wordt aangetoond. 


19 Dit is de dag waarop de oorspronkelijke verplichting om de zvzi op de ggz-factuur te vermelden is opgeschort. Zie Stcrt. 2014, nr. 
27276. 

20 Artikel 1, onderdeel t. Regeling zorgverzekering definieert formele controle: een onderzoek waarbij de zorgverzekeraar nagaat of 
het tarief dat door een zorgaanbieder voor een prestatie in rekening is gebracht: 

1°. een prestatie betreft, welke is geleverd aan een bij die zorgverzekeraar verzekerde persoon; 

2°. een prestatie betreft, welke behoort tot het verzekerde pakket van die persoon, 

3°. een prestatie betreft, tot levering waarvan de zorgaanbieder bevoegd is, en 

4°. het tarief betreft, dat voor die prestatie krachtens de Wet marktordening gezondheidszorg is vastgesteld of een tarief 
is dat voor die prestatie met de zorgaanbieder is overeengekomen. 

21 Artikel 1, onderdeel u, Regeling zorgverzekering definieert materiële controle: een onderzoek waarbij de zorgverzekeraar nagaat of 
de door de zorgaanbieder in rekening gebrachte prestatie is geleverd en die geleverde prestatie het meest was aangewezen 
gezien de gezondheidstoestand van de verzekerde. 

22 ex artikel 88 Wet op de beroepen in de individuele gezondheidszorg juncto artikel 7:457 Burgerlijk Wetboek 

23 ex artikel 7:457 BW 
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Toetsing aan het EVRM 

Artikel 8 van het EVRM bepaalt dat een ieder recht heeft op respect voor zijn privéleven. Een inperking 
van dat recht moet ingevolge het tweede lid van dat artikel: 

• bij de wet zijn voorzien; 

In casu is dit het geval, zie artikelen 87 Zvw, en 38, 61, 62 en 68 WMG en de daarop gebaseerde 
regelingen voor de formele en materiële controle. De verwerking van de zvzi voor zorginkoop is 
noodzakelijk voor de invulling van de zorgplicht van verzekeraars jegens zijn verzekerden, artikel 
11 Zvw. De verplichtingen voor de risicoverevening vloeien voort uit Paragraaf 4.2 en de (jaarlijks 
vastgestelde) regeling over risicoverevening. Die wetten en regelingen zijn voor een ieder 
bekendgemaakt in het Staatsblad respectievelijk de Staatscourant; 

• een in dat lid genoemd belang dienen; 

In casu is dit het geval, want het gaat hier om materiële controle, kwaliteitsverbetering en 

risicoverevening en derhalve om het economisch welzijn van Nederland, 

het voorkomen van strafbare feiten en bescherming van de rechten van verzekerden; 

• en noodzakelijk zijn in een democratische samenleving, hetgeen inhoudt dat: 

- de inperking voorziet in een dringende maatschappelijke behoefte; 

In casu is dit het geval, want het gaat om de goede uitvoering van de zorgverzekeringsovereen- 
komst en van de Zvw; 

- de inperking geschikt is om het te dienen belang te realiseren; 

In casu is dit het geval, want met de formele en materiële controles kan worden nagegaan of 
aan de wettelijke eisen voor het verlenen van zorg ten laste van de basisverzekering wordt 
voldaan en verzekerden hebben gekregen waar zij recht op hebben en of de privaatrechtelijke 
afspraken tussen zorgaanbieder en zorgverzekeraar worden nageleefd; de verwerking van 
declaratiegegevens is ook noodzakelijk om de zorgverzekeraar ten behoeve van de nakoming 
van de wettelijke zorgplicht jegens de verzekerden met wie een verzekeringsovereenkomst is 
gesloten passende zorg in te kopen bij zorgaanbieders; de verwerking van declaratiegegevens 
voor de risicoverevening is noodzakelijk om de wettelijk verplichte zorgverzekering voor alle 
ingezetenen in het land in stand te houden; 

- en de inperking voldoet aan de eisen van subsidiariteit en proportionaliteit. 

In casu is dit het geval, want de in de onderhavige regeling opgenomen alternatieven zijn 
zorgvuldig afgewogen en de onderhavige regeling bevat een significante verbetering van de 
bescherming van de persoonlijke levenssfeer van de verzekerden ten opzichte van de eerdere 
regelgeving. Met betrekking tot de subsidiariteit en proportionaliteit zij verder verwezen naar 
de hiervoor in deze toelichting opgenomen paragraaf over de verkenning. Alle beoogde doelen 
waarvoor de verwerking van de zvzi noodzakelijk is, zijn met de gekozen oplossing te verwe¬ 
zenlijken. 

In zijn advies inzake onderhavige regeling merkt het CBP op geen aanleiding te zien tot aanvulling van 
de reeds in het advies van 4 september 2013 gemaakte opmerkingen over de - gelet op artikel 8 EVRM 
- te onderbouwen noodzaak tot verplichting van de zorgaanbieders om het gegeven zorgvraagzwaarte 
aan te leveren teneinde zorgverzekeraars in de gelegenheid te stellen hun wettelijke taken uit te 
voeren 24 . 

Toetsing aan de Wbp 

Naast het EVRM moet ook worden voldaan aan de Wbp. 

VECOZO en Vektis worden krachtens wettelijk voorschrift belast met het uitvoeren van daarbij 
afgebakende specifieke taken - met bijbehorende bevoegdheden en verantwoordelijkheden - het 
gegeven zorgvraagzwaarte te verwerken voor de uitvoering van taken door zorgverzekeraars, zonder 
dat zorgverzekeraars over dat gegeven in een tot de persoon herleidbare vorm (hoeven te) kunnen 
beschikken. Met name voor Vektis geldt dat het daarbij gaat om bevoegdheden tot verwerking van het 
gegeven zorgvraagzwaarte, die niet (meer) berusten bij zorgverzekeraars zelf. Derhalve kan - in ieder 
geval voor wat betreft de verwerking van het gegeven zorgvraagzwaarte - volgens het CBP niet langer 
gesproken worden van verwerking van persoonsgegevens door Vektis als bewerker in de zin van de 
Wbp voor zorgverzekeraar(-s). Voor deze verwerking moet Vektis derhalve beschouwd worden als 
verantwoordelijke in de zin van artikel 1, onder d, van de Wbp. Datzelfde geldt voor de verwerking van 
de zvzi voor VECOZO. VECOZO en Vektis voeren de verwerkingen zelf uit en dragen ingevolge artikel 
13 Wbp en artikel 7.2b, eerste lid, van deze regeling zorg voor passende technische en organisatori¬ 
sche maatregelen om persoonsgegevens te beveiligen bij de verwerking van de zvzi, bedoeld in artikel 
7.2a. Zie over de positie van VECOZO en Vektis in relatie met de Wbp ook hoofdstuk 8 over de 
verwerking van het CBP advies. 

In het tweede lid van artikel 7.2a geeft de minister impliciet aan dat de verwerking van de zvzi door 
VECOZO qua timing parallel moet verlopen aan het declaratieproces. De verwerkingen voor zorgaan- 


24 Advies van 15 september 2015, kenmerk Z2015-00360; als bijlage bij de toelichting gevoegd 


Staatscourant 2015 nr. 41212 20 november 2015 





bieders en zorgverzekeraars door VECOZO in het kader van het declaratieproces is gebaseerd op 
privaatrechtelijke overeenkomsten met zorgaanbieders en voorliggende declaratieovereenkomsten 
(administratieovereenkomsten) tussen zorgaanbieders en verzekeraars. 

De koppeling van de verwerking van de zvzi door VECOZO en Vektis aan de rechtmatige doelbinding 
als bedoeld in artikel 9 Wbp, komt tot uiting in artikel 7.2a Rzv waar in het zesde lid expliciet is 
beschreven dat de verwerking van de zvzi dient ten behoeve van daarbij aangegeven analyses en 
controles als bedoeld in de artikelen 7.6 tot en met 7.9 RZv met het oog op de formele en materiële 
controle door zorgverzekeraars en de doelen aangegeven in artikel 7.1, tweede lid, Rzv. In het tweede 
lid van artikel 7.2a is naast in vorige volzin bedoelde doelen, vastgelegd dat de zorgverzekeraar ook 
mag beschikken over de zvzi voor zover dat noodzakelijk is voor de zorgverzekeraar om te voldoen aan 
zijn verplichting om gegevens te leveren aan het Zorginstituut ten behoeve van de uitvoering van de 
Zvw. 

In het achtste lid van artikel 7.2a wordt daar voor Vektis impliciet aan toegevoegd dat de verwerking 
geschiedt met het oog op de risicoverevening als bedoeld in artikel 34 Zvw. In de Regeling structurele 
aanlevering gegevens Zvw, gebaseerd op artikel 90 Zvw, worden zorgverzekeraars verplicht gegevens, 
waaronder persoonsgegevens te verstrekken aan het zorginstituut voor de uitvoering van de Zvw. 

In de regeling worden VECOZO en Vektis door de minister verplicht werkzaam te zijn ten behoeve van 
een goede uitvoering van wettelijke voorschriften die 'voorzien in aanspraken die afhankelijk zijn de 
gezondheidstoestand van de betrokkene' (artikel 21, eerste lid, onder f, Wbp). 

Het zorginstituut ontleent zijn bevoegdheid tot het ontsleutelen van de zvzi en het maken van analyses 
aan zijn taak inzake de risicoverevening, opgedragen bij en krachtens de Zvw (paragraaf 4.2). Op 
grond van artikel 88, eerste en tweede lid, jo 89 Zvw is Vektis verplicht op verzoek van het zorginstituut 
de sleutel voor de ontsleuteling van de zvzi aan dat instituut te leveren. 

Artikel 7.2b bevat de noodzakelijke waarborgen voor de verwerking van het gegeven zorgvraag- 
zwaarte. 

In artikel 7.2b, eerste lid, wordt in navolging van artikel 13 Wbp aan VECOZO en Vektis opgedragen 
passende technische en organisatorische maatregelen te treffen om persoonsgegevens te beveiligen 
bij de opgedragen verwerkingen en tegen verlies of tegen enige vorm van onrechtmatige verwerking. 
VECOZO en Vektis conformeren zich aan internationale normen. Die maatregelen garanderen, 
rekening houdend met de stand van de techniek en de kosten van de tenuitvoerlegging, een passend 
beveiligingsniveau gelet op de risico's die de verwerking en de aard van te beschermen gegevens met 
zich brengen. De maatregelen zijn er mede op gericht onnodige verzameling en verdere verwerking 
van persoonsgegevens te voorkomen. VECOZO en Vektis worden regelmatig door een onafhankelijke 
instantie op de invulling van die normen gecontroleerd. Die controles zijn bruikbaar voor de toezicht¬ 
houders. Op deze wijze wordt invulling gegeven aan artikel 13 Wbp. 

In artikel 7.2b, vierde lid, wordt ook aan personen, werkzaam bij VECOZO en Vektis die niet op grond 
van hun ambt of beroep tot geheimhouding zijn verplicht een geheimhoudingsplicht opgelegd, 
behoudens enig wettelijk voorschrift hen tot mededeling verplicht. Daarmee kunnen ook zij de 
verwerkingen, bedoeld in artikel 7.2a, uitvoeren omdat zij aan het artikel 21, tweede lid, Wbp voldoen. 
Dat artikellid bepaalt ondermeer dat verwerking van bijzondere persoonsgegevens, waaronder 
medische persoonsgegevens, is voorbehouden aan personen die op grond van ambt, beroep of 
wettelijk voorschrift gehouden zijn tot geheimhouding van die persoonsgegevens. 

In artikel 7.2b, vijfde lid, wordt uitdrukkelijk bepaald dat zorgverzekeraars niet mogen beschikken over 
de sleutel om de versleutelde zvzi te kunnen ontsleutelen. 

In artikel 7.2b, zesde lid, is bepaald dat het gegeven zorgvraagzwaarte en de gegevens van de patiënt, 
die noodzakelijk zijn voor het onderbouwen en afleiden van de zvzi van de betreffende individuele 
patiënt, moeten worden verwerkt onder verantwoordelijkheid van een medisch adviseur in opdracht 
van de zorgverzekeraar, indien op grond van analyse op basis van geaggregeerde gegevens, of naar 
aanleiding van een ander signaal, er reden is voor het instellen van (nadere) materiële controle. In het 
zesde lid van artikel 7.2b is - om ieder misverstand te voorkomen - opgenomen dat het bepaalde in de 
artikelen 7.5 t/m 7.11 Rzv inzake de uitvoering van materiële controle door zorgverzekeraars onverkort 
van toepassing blijft. Daarmee wordt aangegeven dat de regels voor het uitvoeren van materiële 
controle van toepassing blijven. 

In artikel 7.2b, zevende lid, is vastgelegd dat de zorgautoriteit na overleg met het veld in een declara- 
tieregeling en onder daarbij te stellen voorwaarden, voorschriften of beperkingen, bepalen tot 
zodanige maskeringen kan verplichten dat nog onderscheid kan worden gemaakt naar maskering van 
zvzi bij digitale declaratie met en zonder privacyverklaring en bij papieren declaratie ook met en 
zonder privacyverklaring. Het onderscheid in maskering kan noodzakelijk zijn voor verwerkingen van 
de zvzi ten behoeve van de zorginkoop, formele en materiële controle en de risicoverevening. De 
zorgautoriteit kan ook vaststellen dat de verplichting tot verstrekken van het gegeven zorgvraag¬ 
zwaarte bij uitzondering niet van toepassing is. Deze waarborg wordt, net als die van het zesde lid van 
artikel 7.2b, in het vierde lid van artikel 7.2c Rzv van overeenkomstige toepassing verklaard voor de 
papieren declaratie. Daardoor wordt de privacyverklaring bij digitale en papieren declaratie gehand¬ 
haafd. 
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9. Verwerking advies CBP 



De nieuwe wijze van aanlevering is in de vorm van een concept van onderhavige regeling voor advies 
voorgelegd aan het CBP. In die regeling was de alternatieve aanlevering die in de onderhavige 
regeling als hoofdregel is opgenomen als tijdelijk aangemerkt, in afwachting van een definitieve 
vormgeving van de aanlevering, die naar toenmalige verwachting in werking zou treden op 1 januari 
2017. Die inwerkingtreding wordt thans voorzien op een later tijdstip en wordt in overleg met alle 
betrokken partijen nader bepaald. Het CBP op 15 september 2015 positief geadviseerd heeft over 
zowel de voorgenomen definitieve vormgeving als over de tijdelijke vormgeving van de aanlevering 
(kenmerk z2015-00360). 

Het advies van het CBP over onderhavige regeling is als bijlage bij deze regeling gevoegd. 

In dat advies maakt het CBP volgende opmerkingen. Bij deze opmerkingen wordt hierna aangegeven 
hoe deze in dit advies zijn verwerkt. 

- Verplichting voor de zorgaanbieder om het gegeven zorgvraagzwaarte aan te leveren 

In het advies van 4 september 2013 is het CBP reeds ingegaan op de noodzaak voor zorgverzeke¬ 
raars om ter uitvoering van hun taken te kunnen beschikken over persoonsgegevens, waaronder 
persoonsgegevens betreffende gezondheid, over verzekerden van wie de verleende, verzekerde 
zorg - in casu in de cGGZ - wordt gedeclareerd door zorgaanbieders en/of door de verzekerde zelf. 
In dat verband is ook de noodzaak onderkend van het uitbreiden van de verplichting voor 
zorgaanbieders in de cGGZ om persoonsgegevens aan te leveren bij de declaratie, met het 
gegeven zorgvraagzwaarte. 

In de onderhavige regeling blijft die verplichting voor de zorgaanbieder gehandhaafd, maar wordt 
voorzien in mogelijkheden tot gebruik van het gegeven zorgvraagzwaarte voor de taken van 
zorgverzekeraars, zonder dat daarvoor het gegeven zorgvraagzwaarte in tot de persoon herleid¬ 
bare vorm, aan de zorgverzekeraar ter beschikking hoeft te komen. 

Het CBP constateert dat deze wijze van aanlevering en verwerking van het gegeven zorgvraag¬ 
zwaarte in overleg tussen alle betrokken partijen (zorgaanbieders en zorgverzekeraars) is ontwik¬ 
keld en door alle betrokken partijen wordt onderschreven/geaccepteerd. Betrokken partijen merken 
deze werkwijze bovendien aan als een wijze van verwerking waarmee zo min mogelijk inbreuk 
wordt gemaakt op de persoonlijke levenssfeer van de verzekerde. 

Het CBP ziet geen aanleiding tot aanvulling van de reeds in het advies van 4 september 2013 
gemaakte opmerkingen over de - gelet op artikel 8 EVRM - te onderbouwen noodzaak tot 
verplichting van de zorgaanbieders om het gegeven zorgvraagzwaarte aan te leveren teneinde 
zorgverzekeraars in de gelegenheid te stellen hun taken uit te voeren. 

Uit de opmerking van het CBP wordt opgemaakt dat de noodzaak tot verplichting van de zorgaanbie¬ 
ders om het gegeven zorgvraagzwaarte aan te leveren teneinde zorgverzekeraars in de gelegenheid te 
stellen hun taken in het kader van de zorgverzekering en de Zorgverzekeringswet uit te voeren in de 
toelichting van de regeling mede met verwijzing naar de toelichting van de Regeling zorgvraagzwaarte 
cGGZ voldoende is onderbouwd. 

- Bevoegdheden en verantwoordelijkheden van VECOZO BV en Vektis CV bij de verwerking van het 
gegeven zorgvraagzwaarte 

In de voorgestelde bepalingen wordt aan zowel VECOZO BV als Vektis CV een zodanige rol 
toebedeeld - met bijbehorende bevoegdheden en verantwoordelijkheden - dat het gegeven 
zorgvraagzwaarte kan worden verwerkt voor de uitvoering van taken door zorgverzekeraars, 
zonder dat zorgverzekeraars over dat gegeven in een tot de persoon herleidbare vorm (hoeven te) 
kunnen beschikken. Met name voor Vektis CV geldt dat het daarbij gaat om bevoegdheden tot 
verwerking van het gegeven zorgvraagzwaarte, die niet (meer) berusten bij zorgverzekeraars zelf. 
Derhalve kan - in ieder geval voor wat betreft de verwerking van het gegeven zorgvraagzwaarte - 
niet langer gesproken worden van verwerking van persoonsgegevens door Vektis CV als bewerker 
voor zorgverzekeraar(-s). Voor deze verwerking moet Vektis CV derhalve beschouwd worden als 
'verantwoordelijke in de zin van de Wbp'. Het CBP adviseert in de Nota van Toelichting op dit punt 
een met de Wbp overeenstemmende, verhelderende beschouwing op te nemen. 

In hoofdstuk 8 is het advies van CBP opgevolgd. Daarbij zij onderschreven dat het in deze regeling om 
een bijzondere constructie gaat waarbij - naar het lijkt - in de Wbp niet expliciet is rekening gehouden. 
De Wbp gaat in de beschrijving van de verhouding tussen verantwoordelijke en bewerker uit van de 
gedachte dat de verantwoordelijke ook zelf bevoegd is persoonsgegevens, waaronder bijzondere 
persoonsgegevens als bedoeld in die wet, te verwerken en dat de verantwoordelijke de opdracht kan 
verstrekken aan de bewerker tot het doen van die verwerking. In het onderhavige geval is de minister 
opdrachtgever van de verwerkingen door VECOZO en Vektis. De minister heeft echter zelf niet de 
bevoegdheid tot verwerking van de zvzi. Gevolg is dat de minister volgens het CBP niet kan worden 
gezien als een verantwoordelijke in de zin van de Wbp. Een bewerker in de zin van de Wbp is degene 
die opdracht krijgt van de verantwoordelijke. Daar in casu de opdrachtgever geen verantwoordelijke 
kan zijn, lijkt het CBP VECOZO en Vektis, op grond van de hun in de onderhavige regeling exclusief 
opgedragen taken, (min of meer noodgedwongen) te zien als verantwoordelijke in de zin van de Wbp. 


17 


Staatscourant 2015 nr. 41212 20 november 2015 




Daarmee zijn de rechten en plichten die op grond van de Wbp voortvloeien uit die positie van 
verantwoordelijke van (overeenkomstige) toepassing voor VECOZO en Vektis. 

- Materiële controle door zorgverzekeraars en het gegeven zorgvraagzwaarte 

In de Nota van Toelichting wordt opgemerkt dat met de voorgestelde bepalingen niet wordt 
uitgesloten dat, in het kader van materiële controle, de (medisch adviseur van de) zorgverzekeraar 
over het gegeven zorgvraagzwaarte in tot de persoon herleidbare vorm mag komen te beschikken. 
De in artt. 7.2a t/m 7.2c Rzv op te nemen regeling inzake de zorgvraagzwaarte laat derhalve het 
bepaalde in artt. 7.5 t/m 7.11 Rzv inzake de uitvoering van materiële controle door zorgverzekeraars 
onverlet. Het CBP wijst er - voor de goede orde - op dat het uitvoeren van detailcontroles door 
zorgverzekeraars in het kader van materiële controle aan strikte voorwaarden is gebonden. Met het 
opvragen van het gegeven zorgvraagzwaarte in tot de persoon herleidbare vorm in het kader van 
materiële controle in de cGGZ, dient derhalve de grootste mogelijke terughoudendheid te worden 
betracht. Het CBP adviseert de relevante passages in de Nota van Toelichting in deze zin verder 
aan te scherpen. 

Het CBP wijst er terecht op dat ook in geval alsnog op grond van signalen onder verantwoordelijkheid 
van de medisch adviseur stappen worden gezet met betrekking tot materiële controle die er toe leiden 
dat de zorgverzekeraar beschikt over de zvzi, dit alleen geoorloofd is als die stappen zijn gezet conform 
de artikelen 7.5 tot en met 7.11 RZV inzake de uitvoering van materiële controle. In navolging van het 
advies van het CBP is derhalve in het zesde lid van artikel 7.2b - om ieder misverstand te voorkomen - 
opgenomen dat het bepaalde in de artikelen 7.5 t/m 7.11 Rzv inzake de uitvoering van materiële 
controle door zorgverzekeraars onverkort van toepassing blijft. 

Privacyverklaring en het gegeven zorgvraagzwaarte 

In de MvT wordt aangegeven dat met ingang van 2017 er geen technische noodzaak meer zou zijn 
om de regeling van de NZa inzake de privacyverklaring nog van toepassing te laten zijn op het 
gegeven zorgvraagzwaarte dat met de declaratie moet worden aangeleverd. Het CBP adviseert een 
en ander in de Nota van Toelichting nader te onderbouwen, nu er weliswaar geen sprake meer is 
van het - in tot het individu herleidbare vorm - ter beschikking komen van het gegeven zorgvraag¬ 
zwaarte bij zorgverzekeraars, maar dit gegeven wel in herleidbare vorm ter beschikking komt van 
andere 'derden'. Het CBP adviseert derhalve om met name aandacht te besteden aan de vraag of 
de bescherming van de persoonlijke levenssfeer van cGGZ- patiënten waarin de privacyverklaring 
beoogd te voorzien, uitsluitend betrekking heeft op de verwerking door zorgverzekeraars of zich 
ook tot de verwerking door elke andere 'derden' zou moeten uitstrekken. 

Gelet op het advies van het CBP is er voor gekozen om het systeem van privacyverklaringen zowel bij 
de papieren declaratie als bij de declaratie met tussenkomst van VECOZO te handhaven. Dat heeft er 
toe geleid dat het derde lid van artikel 7.2 Rzv is verplaatst naar artikel 7.2b, zevende lid, dat expliciet 
over de waarborgen bij de aanlevering van de zvzi gaat. De zorgautoriteit kan in een declaratieregeling 
en onder daarbij te stellen voorwaarden, voorschriften of beperkingen, bepalen dat de verplichting tot 
verstrekken van het gegeven zorgvraagzwaarte bij uitzondering niet van toepassing is. Deze waarborg 
wordt, net als die van het zesde lid van artikel 7.2b, in het vierde lid van artikel 7.2c Rzv van overeen¬ 
komstige toepassing verklaard voor de papieren declaratie. 

Met de aangegeven verwerking is op passende wijze aandacht besteed aan het advies van het CBP. 

10. Fraudetoets 

In het fraudedebat in mei 2013 in de Tweede Kamer der Staten-Generaal is toegezegd alle nieuwe wet¬ 
en regelgeving en grote wijzigingen in bekostigingssystemen te toetsen op fraudegevoeligheid. 
Daartoe is een vragenlijst ontwikkeld. Op de eerste vraag of definities eenduidig interpreteerbaar, 
helder en duidelijk afgebakend zijn kan, voor zo ver van toepassing positief worden geantwoord. De 
tweede vraag behelst de vraag welke fraudemogelijkheden de voorliggende ontwerpregelgeving 
biedt. Nu het antwoord luidt dat de regeling op zich geen fraudemogelijkheden biedt, kan het 
beantwoorden van verdere vragen uit de toets achterwege blijven. 


Artikelsgewijze toelichting 
Artikel I, onderdeel A 

De eerste wijziging betreft de aanpassing van de definitie van het rapport zorgvraagzwaarte welke 
definitie tot doel heeft het begrip zorgvraagzwaarte nader in te vullen. De huidige definitie verwijst nu 
naar het rapport Zorgvraagzwaarte 1.0. Op 29 oktober 2015 is een tweede rapportversie vastgesteld 
waarin de inhoud van het begrip zorgvraagzwaarte verder is ontwikkeld. Bij de verwerkingen bedoeld 
in deze regeling moet van het laatst algemeen aanvaarde rapport over zorgvraagzwaarte worden 
uitgegaan. Een voorbeeld van het dynamisch karakter is dat de uitzondering die in het eerste rapport 
is gemaakt voor de zvzi bij persoonlijkheidsstoornissen in de het tweede rapport niet meer wordt 
gemaakt. Dat betekent dat de grond voor de huidige uitzondering die gebaseerd is op het eerste 
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rapport met betrekking tot zorgvraagzwaarte is vervallen. Ook bij persoonlijkheidsstoornissen moet de 
zvzi worden aangeleverd. 

De verdere ontwikkeling van de invulling van het begrip zorgvraagzwaarte sluit aan bij de een van de 
doelen van de aanlevering van de zvzi, namelijk het maken van geaggregeerde analyses voor de 
(koepels van) GGZ-patiënten, zorgprofessionals, instellingen en zorgverzekeraars, om zodoende een 
'lerende omgeving' te vormen waarin de zvzi wordt doorontwikkeld. 

Artikel I, onderdeel B 

Het tweede lid van artikel 7.2 wordt verplaatst naar artikel 7.2a Rzv. Dat lid wijst erop dat de verplich¬ 
ting de zvzi te leveren slechts van toepassing is indien de zorgautoriteit dat in een declaratieregel heeft 
bepaald. 

Het derde lid van artikel 7.2 wordt verplaatst naar artikel 7.2b, zevende lid, Rzv. Dat lid verwijst naar de 
opt/out-regeling annex privacyverklaring die de zorgautoriteit heeft opgenomen in de (nadere) 
regeling met betrekking tot de gespecialiseerde ggz, waarbij de privacyverklaring een mogelijkheid 
geeft tot uitzondering op de verplichte aanlevering van het gegeven zorgvraagzwaarte. 

In het vierde lid van artikel 7.2. wordt de verplichting tot het verstrekken van de zorgvraagzwaarte op 
de declaratie op grond van een declaratieregeling als bedoeld in het tweede lid tot en met 31 decem¬ 
ber 2015 opgeschort en het vierde lid van artikel 7.2 kan dus met ingang van 1 januari 2016 vervallen. 
Omdat er in artikel 7.2 dan nog slechts een lid resteert vervalt ook de nummering van de leden in 
artikel 7.2 Rzv. 

Artikel I, onderdeel C 

In dit artikelonderdeel worden drie artikelen toegevoegd met betrekking tot de verwerking van het 
gegeven zorgvraagzwaarte. Artikel 7.2a Rzv gaat uit van de situatie met maskering door VECOZO. 
Artikel 7.2b Rzv vestigt de waarborgen voor een zorgvuldige verwerking van de zvzi met technische 
standaarden en beveiligingseisen als bedoeld in het zesde lid van artikel 87 Zvw. 

Artikel 7.2c Rzv gaat uit van de situatie waarbij er op papier wordt gedeclareerd. 

Bij de formulering van de artikelen 7.2a tot en met 7.2c Rzv is gebruik gemaakt van de mogelijkheden 
die het derde, vijfde en zesde lid van artikel 87 Zvw bieden in combinatie met de mogelijkheden die de 
zorgautoriteit heeft op basis van de artikelen 38, 61, 62 en 68 WMG. Met name is gebruik gemaakt van 
de onderdelen b tot en met e, van het zesde lid van artikel 87 Zvw, dat de mogelijkheid biedt om regels 
te stellen over de wijze waarop gegevens worden verwerkt, volgens welke instructies en technische 
standaarden de beoogde gegevensverwerking plaats moet vinden, aan welke beveiligingseisen 
gegevensverwerking moet voldoen en in welke gevallen gegevens verder worden verwerkt met het 
oog op de uitvoering van zorgverzekering en aanvullende verzekering en in welke gevallen gegevens 
noodzakelijk zijn voor de betaling aan een zorgaanbieder of vergoeding van zorgkosten aan een 
verzekerde dan wel het verrichten van controle of fraudeonderzoek. 

Daarbij wordt aangesloten bij het ruime begrip 'verwerken' zoals dat in de Wbp is gehanteerd. In 
artikel 1, onderdeel b, Wbp wordt onder verwerking van persoonsgegevens verstaan: elke handeling 
of elk geheel van handelingen met betrekking tot persoonsgegevens, waaronder in ieder geval het 
verzamelen, vastleggen, ordenen, bewaren, bijwerken, wijzigen, opvragen, raadplegen, gebruiken, 
verstrekken door middel van doorzending, verspreiding of enige andere vorm van terbeschikkingstel¬ 
ling, samenbrengen, met elkaar in verband brengen, alsmede het afschermen, uitwissen of vernieti¬ 
gen van gegevens. De term 'in ieder geval' brengt met zich dat ook het maskeren, versleutelen en 
ontsleutelen van gegevens tot het verwerken van gegevens mag worden gerekend. Het verwerken 
bedoeld in artikel 87, zesde lid, Zvw heeft betrekking op alle gegevens, waaronder persoonsgegevens 
betreffende de gezondheid als bedoeld in de Wbp. 

Het eerste lid van artikel 7.2a Rzv beperkt de reikwijdte van het artikel tot de situatie waarbij via 
VECOZO wordt gedeclareerd. 

Het tweede lid van artikel 7.2a verwijst naar een declaratieregeling op grond van artikel 38 van de 
WMG die door de zorgautoriteit wordt vastgesteld. Het is noodzakelijk dat het gegeven zorgvraag¬ 
zwaarte deel uitmaakt van de declaratiegegevens die digitaal door de zorgaanbieder worden aangele¬ 
verd aan VECOZO vanwege het verder te volgen proces, waarbij na maskering de zorgverzekeraar 
enkel kan zien dat het gegeven correct is aangeleverd, doch niet kan zien wat de aangeleverde 
zorgvraagzwaarte van de individuele verzekerde is. In dat lid wordt ook verwezen naar de doelen 
waarvoor de zvzi mag worden gebruikt. 

In het derde lid van artikel 7.2a wordt bepaald dat de aanlevering van de declaratiegegevens aan de 
zorgverzekeraar met tussenkomst van VECOZO loopt, waarbij wordt verwezen naar de declaratieregel 
van de zorgautoriteit. 

Het vierde lid van artikel 7.2a bepaalt dat VECOZO het gegeven zorgvraagzwaarte maskeert alvorens 
VECOZO dat gemaskeerde gegeven aan de zorgverzekeraar verstrekt. 

Het vijfde lid bepaalt dat de zorgverzekeraar de door de zorgaanbieder verstrekte declaratiegegevens 
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van VECOZO ontvangt. Omdat de afspraak met alle betrokken partijen is gemaakt dat het gegeven 
zorgvraagzwaarte eerst door de 'Trusted Third Party' Vektis in analyses wordt verwerkt die zorgverze¬ 
keraars gaan gebruiken voor controles, wordt het gegeven zorgvraagzwaarte van de verzekerde door 
VECOZO gemaskeerd en zo aan de zorgverzekeraar aangeleverd en beschikt de zorgverzekeraar ook 
niet over de mogelijkheid om de maskering van het gegeven zorgvraagzwaarte ongedaan te maken. 

In het zesde lid wordt geregeld dat de zorgverzekeraar de declaratiegegevens, waaronder het 
gemaskeerde gegeven zorgvraagzwaarte, aan Vektis verstrekt. Vektis maakt op basis van de aangele¬ 
verde gegevens analyses voor zorgaanbieders en zorgverzekeraars die noodzakelijk zijn voor de 
uitvoering van de zorgverzekering of de Zvw en ten behoeve van het verrichten van controle of 
fraudeonderzoek. Vektis ontvangt daartoe van VECOZO het ongemaskeerde gegeven zorgvraag¬ 
zwaarte (lid 7). 

Vektis verstrekt op verzoek van een zorgverzekeraar aan deze ook het gegeven zorgvraagzwaarte van 
zijn verzekerden, nadat Vektis het gegeven heeft versleuteld. Zorgverzekeraars kunnen daarmee 
voldoen aan de verplichting die gegevens aan te leveren aan het zorginstituut ten behoeve van de 
uitvoering van de risicoverevening (lid 8). 

In de leden 9 en 10 is de routing van de aanlevering van het gegeven zorgvraagzwaarte aan het 
Zorginstituut opgenomen. De zorgverzekeraar verstrekt op verzoek van het zorginstituut de door Vektis 
versleutelde zorgvraagzwaartegegevens. Vektis verstrekt op verzoek van het zorginstituut de sleutel 
om de zorgvraagzwaarte te ontsleutelen. Na ontsleuteling kan het zorginstituut de gegevens verwer¬ 
ken ten behoeve van de uitvoering van de risicoverevening. De bevoegdheid van het zorginstituut tot 
het doen van de verzoeken en de plicht tot medewerking van de Vektis en verzekeraars aan die 
verzoeken is gegrond op artikel 88, eerste en tweede lid, jo 89 Zvw. 

In artikel 7.2b zijn de voor alle betrokken partijen belangrijke waarborgen opgenomen bij de verwer¬ 
king van de zvzi. In het eerste lid worden VECOZO en Vektis opgedragen passende technische en 
organisatorische maatregelen te nemen ter bescherming van de persoonsgegevens bij de verwerkin¬ 
gen als bedoeld in artikel 7.2a. Zoals reeds in het algemeen deel van de toelichting is gemeld, worden 
de getroffen maatregelen periodiek geaudit door een onafhankelijke instantie. 

Ter bescherming van persoonsgegevens van verzekerde patiënten is in het tweede lid van artikel 7.2b 
bepaald dat de door Vektis aan zorgaanbieders en zorgverzekeraars te verstrekken rapportages geen 
tot individuele verzekerden te herleiden gegevens bevatten. Met de bepaling dat ook de zorgverzeke¬ 
raars niet over de tot individuele verzekerden te herleiden zorgvraagzwaarte beschikken, wordt een 
ongewenste inbreuk op de bescherming van persoonsgegevens voorkomen, conform het doel van 
deze regeling. 

Nu het nieuwe artikel 7.2b een specialis is van artikel 7.3 voor wat betreft de aanwijzing van bewer¬ 
kers, omdat in het nieuwe artikel de bewerkers VECOZO en Vektis voor een specifieke bewerking zijn 
aangewezen, is het wenselijk overeenkomstig het derde lid van artikel 7.3 te bepalen dat ook VECOZO 
en Vektis zijn gebonden aan dezelfde wettelijke voorschriften inzake geheimhouding als de zorgverze¬ 
keraars. Dat is gebeurd in het derde lid. 

In het verlengde van het derde lid is in het vierde lid van artikel 7.2b een overeenkomstige bepaling als 
het vijfde lid van artikel 87 Zvw opgenomen voor het personeel van VECOZO en Vektis. Personen 
werkzaam bij of ten behoeve van VECOZO en Vektis voor wie niet reeds uit hoofde van ambt of beroep 
een geheimhoudingplicht geldt, zijn verplicht tot geheimhouding van de gegevens die zij op grond 
van artikel 7.2a verwerken, behoudens voor zover enig wettelijk voorschrift hen tot mededeling 
verplicht. Daarmee kunnen ook zij de verwerkingen, bedoeld in artikel 7.2a, uitvoeren omdat zij aan 
het artikel 21, tweede lid, Wbp voldoen. Dat artikellid in de Wbp bepaalt onder meer dat verwerking 
van bijzondere persoonsgegevens, waaronder medische persoonsgegevens, is voorbehouden aan 
personen die op grond van ambt, beroep of wettelijk voorschrift gehouden zijn tot geheimhouding van 
die persoonsgegevens. 

In het vijfde lid wordt uitdrukkelijk bepaald dat zorgverzekeraars niet mogen beschikken over de 
sleutel om de versleutelde zvzi te kunnen ontsleutelen. 

In artikel 7, zesde lid, is bepaald dat het gegeven zorgvraagzwaarte en de gegevens van de patiënt, die 
noodzakelijk zijn voor het onderbouwen en afleiden van de zvzi van de betreffende individuele patiënt, 
moeten worden verwerkt onder verantwoordelijkheid van een medisch adviseur in opdracht van de 
zorgverzekeraar, indien op grond van analyse op basis van geaggregeerde gegevens, of naar 
aanleiding van een ander signaal, er reden is voor het instellen van (nadere) materiële controle. In het 
zesde lid van artikel 7.2b is - om ieder misverstand te voorkomen - opgenomen dat het bepaalde in de 
artikelen 7.5 t/m 7.11 Rzv inzake de uitvoering van materiële controle door zorgverzekeraars onverkort 
van toepassing blijft. Daarmee wordt aangegeven dat de regels voor het uitvoeren van materiële 
controle van toepassing blijven. 

In artikel 7.2b, zevende lid, is vastgelegd dat de zorgautoriteit na overleg met het veld in een declara- 
tieregeling en onder daarbij te stellen voorwaarden, voorschriften of beperkingen, bepalen tot 
zodanige maskeringen kan verplichten dat nog onderscheid kan worden gemaakt naar maskering van 
zvzi bij digitale declaratie met en zonder privacyverklaring en bij papieren declaratie ook met en 
zonder privacyverklaring. Het onderscheid in maskering kan noodzakelijk zijn voor verwerkingen van 
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de zvzi ten behoeve van de zorginkoop, formele en materiële controle en de risicoverevening. De 
zorgautoriteit kan ook vaststellen dat de verplichting tot verstrekken van het gegeven zorgvraag- 
zwaarte bij uitzondering niet van toepassing is. Deze waarborg wordt, net als die van het zesde lid van 
artikel 7.2b, in het vierde lid van artikel 7.2c van overeenkomstige toepassing verklaard voor de 
papieren declaratie. Daardoor wordt de privacyverklaring bij digitale en papieren declaratie gehand¬ 
haafd. 

In artikel 7.2c wordt de procedure aangegeven die moet worden gevolgd indien de verzekerde of de 
zorgaanbieder namens de verzekerde de kosten van gespecialiseerde geestelijke gezondheidszorg 
zonder tussenkomst van VECOZO in rekening brengt bij diens zorgverzekeraar. In dat geval beschikt de 
verzekeraar niet over het gegeven zorgvraagzwaarte. De zorgautoriteit kan hier nadere regels bij 
stellen, bijvoorbeeld door te verplichten dat de zvzi op de declaratie wordt gemaskeerd en te regelen 
hoe dat moet plaatsvinden. Het vierde lid van artikel 7.2c bepaalt dat het zesde en zevende lid van 
artikel 7.2b Rzv van overeenkomstige toepassing zijn voor papieren declaraties. 

Artikel I, onderdelen D en E 

Het nieuwe artikel 7.2a is een specialis van artikel 7.3 Rzv voor wat betreft de aanwijzing van verwer¬ 
kers van de zvzi. In dat nieuwe artikel zijn VECOZO en Vektis exclusief 25 , als TTP, voor een specifieke 
bewerking van de zvzi aangewezen. Zonder nadere wijziging van artikel 7.3 zou er strijd ontstaan met 
de verplichte aanlevering die in dat artikel is opgenomen. Daarin is namelijk opgenomen dat declara- 
tiegegevens aan een zorgverzekeraar of een door deze aan te wijzen persoon moeten worden 
verstrekt. Om af te kunnen wijken van artikel 7.3 moet voor die algemene verplichting een uitzonde¬ 
ring worden gemaakt. Derhalve wordt aan het eerste lid toegevoegd: , indien bij of krachtens deze 
regeling anders is bepaald. Die wijziging voorziet erin dat de artikel 7.2a voorgaat op artikel 7.3 van de 
Rzv. 

In de overige onderdelen worden de verwijzingen in die regeling gecorrigeerd die noodzakelijk zijn na 
inwerkingtreding van deze regeling. 

Artikel II 

Dit artikel vervangt Artikel II van de Regeling verlenging tijdelijke opschorting zorgvraagzwaarte cGGZ 
(Staatscourant 2015, nr. 6779). 

Het tweede lid van Artikel II regelt dat na afloop van de opschorting de betreffende zvzi-en alsnog 
moeten worden afgeleid en aangeleverd mits dat op een door de zorgautoriteit te bepalen wijze op 
grond van de WMG in een regeling is vastgelegd. Het is niet de bedoeling de declaraties over de jaren 
2014 en 2015 opnieuw in te laten dienen en opnieuw te laten beoordelen door verzekeraars, aangezien 
dat een te grote administratieve belasting van zorgaanbieders en verzekeraars zou betekenen. Over de 
wijze van aanlevering zal met betrokkenen worden overlegd. 

Artikel III 

Dit artikel bevat in het eerste lid het overgangsrecht voor de zorgaanbieders die de zvzi reeds vóór 
2 oktober 2014 26 hebben verstrekt op de factuur. Voor hen moet er een wettelijke grondslag blijven 
voor het feit dat zij daarmee hun beroepsgeheim hebben doorbroken en hun geheimhoudingsplicht is 
opgeheven. 

In het tweede lid is ook voorzien in een wettelijke grondslag voor zorgaanbieders die een zvzi via 
VECOZO aanleveren die behoort bij een geopende dbc, voordat de verplichting in werking treedt om 
de alternatieve aanlevering te gebruiken. De vrijwaring heeft als doel om de administratieve last bij de 
zorgaanbieder te beperken door het voorkomen van onnodige afkeur van declaraties op basis van 
ingangsdatum. De zorgverzekeraar heeft daarmee ook een vrijwaring voor de ontvangst van de 
aangeleverde data over dbc's geopend vóór 2016. Dit wil zeggen dat de data gebruikt mogen worden 
voor de formele en materiële controle. Deze zvzi's worden niet aangeleverd voor de risicoverevening, 
omdat ze niet worden opgenomen in de declaratiebestanden van verzekeraars met betrekking tot het 
jaar 2016. 

Artikel IV 

Dit artikel bevat de inwerkingtreding van de regeling en verleent aan de relevante onderdelen van de 
artikelen van de regeling terugwerkende kracht tot en met 1 januari 2014, zodat de aanlevering van 


25 De in deze regeling opgenomen exclusiviteit bewerkstelligd dat VECOZO en Vektis in navolging van het advies van het CBP als 
verantwoordelijke in de zin van de Wbp worden beschouwd. Zie daarvoor ook de hoofdstukken 7,8 en 9 van het algemeen deel 
van de toelichting 

26 Dit is de dag waarop de oorspronkelijke verplichting om de zvzi op de ggz-factuur te vermelden is opgeschort. Zie Stcrt. 2014, nr. 
27276. 
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zorgvraagzwaartegegevens die ingevolge de opschorting van levering op de factuur nog niet zijn 
aangeleverd, alsnog verplicht kan worden gesteld op de wijze die de zorgautoriteit in een regeling op 
grond van de WMG bepaalt. 


Artikel V 


Aan de regeling is een citeertitel toegekend, omdat naar verwachting veel naar de onderhavige 
regeling zal worden verwerven. 

De Minister van Volksgezondheid, Welzijn en Sport, 

E.l. Schippers 
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BIJLAGE 



Geachte mevrouw Schippers, 

Bij brief d.d. 17 juli 2015 heeft u het College bescherming persoonsgegevens (CBP) om advies 
gevraagd over een wijziging van de Regeling zorgverzekering in verband met de versleutelde 
aanlevering van de zorgvraagzwaarteindicator aan zorgverzekeraars. Over de aanlevering van 
zorgvraagzwaartegegevens aan zorgverzekeraars is door het CBP op 4 september 2013 reeds eerder 
advies uitgebracht (z2013-00498). Met deze brief voldoet het CBP aan uw verzoek. 

Hoofdlijnen van de regeling 

Aan de Regeling zorgverzekering wordt een drietal nieuwe artikelen toegevoegd (artikelen 7.2a, 7.2b 
en 7.2c). In artikel 7.2a wordt geregeld dat de zorgaanbieder bij de declaratie het gegeven zorgvraag- 
zwaarte verstrekt via VECOZO BV aan de zorgverzekeraar. VECOZO BV zorgt daarbij voor de versleute¬ 
ling van het gegeven zorgvraagzwaarte voordat dat gegeven met de overige declaratiegegevens aan 
de zorgverzekeraar wordt verstrekt. Ook verstrekt VECOZO BV de declaratiegegevens en het versleu¬ 
telde gegeven zorgvraagzwaarte aan Vektis CV. Ten behoeve van het maken van analyses voor 
zorgaanbieders en zorgverzekeraars, noodzakelijk voor de uitvoering van de zorgverzekering of de 
Zorgverzekeringswet en ten behoeve van het verrichten van controle of fraudeonderzoek, verkrijgt 
Vektis CV van VECOZO BV ook de sleutel waarmee het gegeven zorgvraagzwaarte kan worden 
ontsleuteld. In artikel 7.2c is een regeling opgenomen voor het geval de declaratie bij de zorgverzeke¬ 
raar zonder tussenkomst van VECOZO BV plaatsvindt. In artikel 7.2b wordt aan VECOZO BV en Vektis 
CV een aantal verplichtingen opgelegd, onder andere een plicht tot beveiliging van persoonsgegevens 
en geheimhouding van die gegevens. 

Beoordeling 

- Verplichting voor de zorgaanbieder om het gegeven zorgvraagzwaarte aan te leveren 

In het advies van 4 september 2013 is het CBP reeds ingegaan op de noodzaak voor zorgverzekeraars 
om ter uitvoering van hun taken te kunnen beschikken over persoonsgegevens, waaronder persoons¬ 
gegevens betreffende gezondheid, over verzekerden van wie de verleende, verzekerde zorg - in casu 
in de cGGZ - wordt gedeclareerd door zorgaanbieders en/of door de verzekerde zelf. In dat verband is 
ook de noodzaak onderkend van het uitbreiden van de verplichting voor zorgaanbieders in de cGGZ 
om persoonsgegevens aan te leveren bij de declaratie, met het gegeven zorgvraagzwaarte. 

In de onderhavige regeling blijft die verplichting voor de zorgaanbieder gehandhaafd, maar wordt 
voorzien in mogelijkheden tot gebruik van het gegeven zorgvraagzwaarte voor de taken van zorgver¬ 
zekeraars, zonder dat daarvoor het gegeven zorgvraagzwaarte in tot de persoon herleidbare vorm, aan 
de zorgverzekeraar ter beschikking hoeft te komen. 

Het CBP constateert dat deze wijze van aanlevering en verwerking van het gegeven zorgvraagzwaarte 
in overleg tussen alle betrokken partijen (zorgaanbieders en zorgverzekeraars) is ontwikkeld en door 
alle betrokken partijen wordt onderschreven/geaccepteerd. Betrokken partijen merken deze werkwijze 
bovendien aan als een wijze van verwerking waarmee zo min mogelijk inbreuk wordt gemaakt op de 
persoonlijke levenssfeer van de verzekerde. 

Het CBP ziet geen aanleiding tot aanvulling van de reeds in het advies van 4 september 2013 
gemaakte opmerkingen over de - gelet op artikel 8 EVRM - te onderbouwen noodzaak tot verplichting 
van de zorgaanbieders om het gegeven zorgvraagzwaarte aan te leveren teneinde zorgverzekeraars in 
de gelegenheid te stellen hun taken uit te voeren. 

- Bevoegdheden en verantwoordelijkheden van VECOZO BV en Vektis CV bij de verwerking van het 
gegeven zorgvraagzwaarte 

In de voorgestelde bepalingen wordt aan zowel VECOZO BV als Vektis CV een zodanige rol toebedeeld 

- met bijbehorende bevoegdheden en verantwoordelijkheden - dat het gegeven zorgvraagzwaarte kan 
worden verwerkt voor de uitvoering van taken door zorgverzekeraars, zonder dat zorgverzekeraars 
over dat gegeven in een tot de persoon herleidbare vorm (hoeven te) kunnen beschikken. Met name 
voor Vektis CV geldt dat het daarbij gaat om bevoegdheden tot verwerking van het gegeven zorg¬ 
vraagzwaarte, die niet (meer) berusten bij zorgverzekeraars zelf. Derhalve kan - in ieder geval voor wat 
betreft de verwerking van het gegeven zorgvraagzwaarte - niet langer gesproken worden van 
verwerking van persoonsgegevens door Vektis CV als bewerker voor zorgverzekeraar(-s). Voor deze 
verwerking moet Vektis CV derhalve beschouwd worden als 'verantwoordelijke in de zin van de Wbp'. 
Het CBP adviseert in de Nota van Toelichting op dit punt een met de Wbp overeenstemmende, 
verhelderende beschouwing op te nemen. 

- Materiële controle door zorgverzekeraars en het gegeven zorgvraagzwaarte 

In de Nota van Toelichting wordt opgemerkt dat met de voorgestelde bepalingen niet wordt uitgeslo¬ 
ten dat, in het kader van materiele controle, de (medisch adviseur van de) zorgverzekeraar over het 
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gegeven zorgvraagzwaarte in tot de persoon herleidbare vorm mag komen te beschikken. De in artt. 
7.2a t/m 7.2c Rzv op te nemen regeling inzake de zorgvraagzwaarte laat derhalve het bepaalde in artt. 
7.5 t/m 7.11 Rzv inzake de uitvoering van materiele controle door zorgverzekeraars onverlet. Het CBP 
wijst er - voor de goede orde - op dat het uitvoeren van detailcontroles door zorgverzekeraars in het 
kader van materiële controle aan strikte voorwaarden is gebonden. Met het opvragen van het gegeven 
zorgvraagzwaarte in tot de persoon herleidbare vorm in het kader van materiele controle in de cGGZ, 
dient derhalve de grootste mogelijke terughoudendheid te worden betracht. 

Het CBP adviseert de relevante passages in de Nota van Toelichting in deze zin verder aan te scherpen. 

Privacyverklaring en het gegeven zorgvraagzwaarte 
In de MvT wordt aangegeven dat met ingang van 2017 er geen technische noodzaak meer zou zijn om 
de regeling van de NZa inzake de privacyverklaring nog van toepassing te laten zijn op het gegeven 
zorgvraagzwaarte dat met de declaratie moet worden aangeleverd. 

Het CBP adviseert een en ander in de Nota van Toelichting nader te onderbouwen, nu er weliswaar 
geen sprake meer is van het - in tot het individu herleidbare vorm - ter beschikking komen van het 
gegeven zorgvraagzwaarte bij zorgverzekeraars, maar dit gegeven wel in herleidbare vorm ter 
beschikking komt van andere 'derden'. Het CBP adviseert derhalve om met name aandacht te 
besteden aan de vraag of de bescherming van de persoonlijke levenssfeer van cGGZ- patiënten 
waarin de privacyverklaring beoogd te voorzien, uitsluitend betrekking heeft op de verwerking door 
zorgverzekeraars of zich ook tot de verwerking door elke andere 'derden' zou moeten uitstrekken. 

Advies 

Het CBP adviseert u aan het vorenstaande op passende wijze aandacht te besteden. 
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